CVE-2026-109829

undici, Node.js için bir HTTP istemci kütüphanesidir. 7.0.0 ile 7.30.0 ve 8.0.0 ile 8.12.1 arasındaki sürümlerde, originless bir Agent; yönlendirme (redirect) ve önbellek (cache) ara katmanlarını paylaşılan bir önbellek deposuyla bu sırayla oluşturduğunda, önbellek anahtarını yönlendirme işleyicisi origin değerini değiştirmeden önce orijinal istek URL'sinden oluşturur; böylece çapraz origin yönlendirmesinden sonra üretilen bir yanıt orijinal anahtar altında saklanır. Güvenilir bir URL'den yapılan yönlendirmenin hedefini kontrol eden bir saldırgan, kendi yanıtının söz konusu güvenilir URL altında önbelleğe alınmasını ve daha sonraki çağrılara sunulmasını sağlayarak kalıcı önbellek zehirlemesine (cache poisoning) yol açabilir. Aynı anahtar karışıklığı, kullanıcıya özel bir kaynağa yönelik gizli ve saklanmayan bir yönlendirme yanıtının orijinal URL altında saklanmasına ve daha sonra kimliği doğrulanmamış bir çağrıya sunularak gizli verilerin ifşa edilmesine neden olur. Uygulamalar yalnızca originless bir Agent, paylaşılan bir önbellek deposu ve yönlendirme sonrası önbellekleme kompozisyonunun tamamı kullanıldığında etkilenir. Sorun, üreten origin'in hala önbellek anahtarıyla eşleştiğini doğrulayan ve saklamadan önce her yönlendirme adımının cache-control politikasını koruyan undici 7.30.1 ve 8.12.2 sürümlerinde düzeltilmiştir; kullanıcılar bu sürümlerden birine veya daha güncel bir sürüme yükseltmelidir. Geçici çözüm olarak, önbellek ara katmanı yönlendirme ara katmanından önce oluşturulmalı, origin başına dispatcher ve önbellek depoları kullanılmalı veya yönlendirme yapabilen isteklerde paylaşılan önbellekleme devre dışı bırakılmalıdır.