CVE-2026-109869

undici, Node.js için bir HTTP istemci kütüphanesidir. 6.23.0 ile 6.29.0, 7.18.0 ile 7.30.1 ve 8.0.0 ile 8.12.1 arasındaki sürümlerde, kötü niyetli bir sunucunun beşten fazla içerik kodlamasına sahip bir yanıt döndürmesi ve gövdeyi göndermeden bağlantıyı kapatması durumunda fetch() uygulaması Node.js işlemini çökertebilir. undici, bir içerik kodlama sınırı nedeniyle bu tür yanıtları reddeder; ancak dahili yanıt akışını bu kontrolden önce oluşturmuş ve bir hata dinleyicisi eklemeden veya isteği iptal etmeden geri dönmüştür. Bu nedenle erken kapatma işlemi, sahipsiz kalan akış üzerinde bir içerik uzunluğu uyumsuzluğuna yol açar ve Node.js bunu işlenmemiş bir hata olarak değerlendirerek işlemi sonlandırır. Uzaktaki kimliği doğrulanmamış bir sunucu, uygulama fetch() reddini doğru şekilde yakalasa bile tek bir yanıtla bunu tetikleyebilir ve bu durum hizmet reddine yol açar. Sorun undici 6.29.1, 7.30.1 ve 8.12.2 sürümlerinde düzeltilmiştir ve kullanıcıların bu sürümlerden birine veya daha güncel bir sürüme yükseltme yapmaları gerekir. Herhangi bir geçici çözüm bulunmamaktadır.