CVE-2026-84890
Açıklama
undici'nin decompress interceptor bileşeni, yanıt gövdelerini güvenilmeyen Content-Encoding başlığına göre açmaktadır. İçerik kodlama katmanlarının sayısı sınırlandırılmış olsa da, toplam sıkıştırılmış çıktı boyutu sınırsızdır ve bunu kısıtlamak için herhangi bir yapılandırma seçeneği bulunmamaktadır. Bu nedenle, kötü niyetli veya hatalı bir üst sunucu, istemci belleğinde yüzlerce megabayta veya daha fazlasına genişleyen küçük bir sıkıştırılmış veri yükü (compression bomb) döndürerek belleği tüketebilecek ve işlemi çökertebilecek asimetrik bir kaynak tüketimine yol açabilir. Bu durum, 7.15.0 ile 7.29.1 arasındaki ve 8.0.0 ile 8.10.2 arasındaki undici sürümlerini etkilemektedir. Kullanıcıların undici 7.29.1 veya 8.10.2 sürümüne yükseltme yapmaları önerilir.
Nasıl düzeltilir
- nodejs undici7.29.1, 8.10.2 ya da sonraki bir sürüm
- undici7.29.1, 8.10.2 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| nodejs undici | 7.15.0 ≤ v < 7.29.1, 8.0.0 ≤ v < 8.10.2 | 7.29.1, 8.10.2 |
| undicinpm | 7.15.0 ≤ v < 7.29.1, 8.0.0 ≤ v < 8.10.2 | 7.29.1, 8.10.2 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.