CVE-2026-109841

undici, Node.js için bir HTTP istemci kütüphanesidir. 7.15.0 ile 7.30.0 ve 8.0.0 ile 8.12.1 arasındaki sürümlerde, fetch() uygulaması, SRI spesifikasyonu belirtecin ASCII küçük harf formunda tanımlanmasına rağmen, Subresource Integrity meta verilerini algoritma belirtecini yalnızca küçük harflerden oluşan bir küme ile eşleştirerek doğrular; bu nedenle büyük harfli veya karma durumlu SHA256 gibi geçerli ancak küçük harf olmayan bir belirteç bilinmeyen olarak kabul edilir ve atlanır. Tanınan hiçbir algoritma kalmadığında, undici bütünlük listesini boş olarak değerlendirir ve yanıtı kabul eder, böylece sabitlenmiş özete uymayan bir gövde döndüren sunucu kontrolü geçer. Yalnızca yanıt gövdesini kontrol eden bir saldırgan, geçerli bir büyük harfli veya karma durumlu SRI belirteci sabitleyen bir uygulamaya, herhangi bir bütünlük hatası olmaksızın saldırgan tarafından kontrol edilen baytları iletebilir; bu durum yalnızca yanıt bütünlüğünü etkiler. Sorun, doğrulama öncesinde algoritma belirtecini ASCII küçük harfe dönüştüren undici 7.30.1 ve 8.12.2 sürümlerinde düzeltilmiştir ve kullanıcıların bu sürümlerden birine veya daha güncel bir sürüme yükseltme yapmaları önerilir. Geçici çözüm olarak, bütünlük meta verilerinde sha256, sha384 veya sha512 gibi küçük harfli algoritma belirteçleri kullanın.