CVE-2026-9675
Açıklama
Etki: undici WebSocket istemcisi, çerçeve başına maxPayloadSize kısıtlamasını uygular ancak parçalanmış sıkıştırılmamış mesajların toplam boyutunu denetlemez. Kötü niyetli bir WebSocket sunucusu, her biri çerçeve bazlı doğrulamadan geçen ancak toplamda yapılandırılmış sınırı aşan birçok küçük parça göndererek istemci işleminde sınırsız bellek artışına neden olabilir. Bunun sonucunda bellek tükenmesi ve hizmet reddi oluşur. Etkilenen uygulamalar, saldırgan tarafından kontrol edilen veya ele geçirilmiş bir WebSocket uç noktasına bağlanmaya zorlanabilen ve undici WebSocket istemcisini (new WebSocket(...)) kullanan uygulamalardır. Bu durum, undici 8.1.0 sürümüne özgü bir regresyondur. 6.25.0 hattı başlangıçtan itibaren eşdeğer toplam boyut kontrolünü içeriyordu ve etkilenmemiştir. 7.x hattında ise maxPayloadSize özelliği hiç bulunmadığı için bu hat etkilenmemiştir. Yamalar: undici >= 8.5.0 sürümüne yükseltin. Geçici Çözümler: Herhangi bir geçici çözüm mevcut değildir. Düzeltme, yükseltme yoluyla uygulanmalıdır.
Nasıl düzeltilir
- nodejs undici8.5.0 ya da sonraki bir sürüm
- undici8.5.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| nodejs undici | 8.0.0 ≤ v < 8.5.0 | 8.5.0 |
| undicinpm | 8.0.0 ≤ v < 8.5.0 | 8.5.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.