CVE-2026-84933

undici'nin önbellek yakalayıcısı (cache interceptor), önbellek yolunun hiçbir yerinde Set-Cookie yanıt üstbilgisini işlemez; bu nedenle bu üstbilgiyi ne depolamayı reddeder ne de temizler. Varsayılan olan paylaşımlı önbellek modunda, örneğin public ve max-age direktifleri ile işaretlenmiş ve Set-Cookie üstbilgisi taşıyan, aksi takdirde önbelleklenebilir bir yanıt depolanır ve ardından aynı önbellek anahtarıyla eşleşen daha sonraki bir çağrıcıya yeniden sunulur. Sonuç olarak, bir çağırıcının çerezi farklı bir çağırıcıya ifşa edilir ve güvenilmeyen bir sunucu, tüm sonraki çağırıcılara sunulan önbelleğe alınmış yanıtlara çerezler enjekte edebilir. Bu durum, paylaşımlı bir önbelleğin çerezleri depolamaması gerektiği gereksinimini ihlal eder. Bu durum, 7.0.0'dan 7.29.1'e kadar ve 8.0.0'dan 8.10.2'ye kadar olan undici sürümlerini etkiler. Kullanıcıların undici 7.29.1 veya 8.10.2 sürümüne yükseltme yapmaları gerekir.