CVE-2026-109855

undici, Node.js için bir HTTP istemci kütüphanesidir. 8.11.0 ve 8.11.1 sürümlerinde, HTTP/2 izin verildiğinde varsayılan olarak etkinleştirilen deneysel WebSocket istemcisi, HTTP/2 üzerinden başarısız olan bir WebSocket el sıkışmasını hatalı yönetmektedir: istek zaten tamamlandı olarak işaretlendiği için iptal işlemi etkisiz kalmakta ve temel HTTP/2 akışı herhangi bir hata dinleyicisi olmadan açık bırakılmaktadır. Kötü niyetli bir sunucu bağlantıyı sonlandırdığında, sahipsiz kalan akış işlenmemiş bir hata yaymakta ve Node.js süreci sonlanmaktadır. Bu nedenle, uzak ve kimlik doğrulaması yapılmamış bir sunucu, kendisine HTTP/2 üzerinden WebSocket açan herhangi bir istemciyi çökertebilir ve bu durum hizmet reddine yol açabilir. Sorun undici 8.11.2 sürümünde düzeltilmiştir ve kullanıcıların 8.11.2 veya daha yeni bir sürüme yükseltmesi önerilir. Geçici bir çözüm olarak, WebSocket bağlantıları için HTTP/2'yi devre dışı bırakmak amacıyla allowH2 değeri false olarak ayarlanmalı veya güvenilmeyen sunuculara WebSocket bağlantısı açmaktan kaçınılmalıdır.