Iniciar sesión
Deutsch English Español Polski
Baja

undici Denial of Service attack via bad certificate data

  • Publicada: 15.05.2025
  • Actualizado: 11.10.2026 10:22

Impact

Applications that use undici to implement a webhook-like system are vulnerable. If the attacker set up a server with an invalid certificate, and they can force the application to call the webhook repeatedly, then they can cause a memory leak.

Patches

This has been patched in https://github.com/nodejs/undici/pull/4088.

Workarounds

If a webhook fails, avoid keep calling it repeatedly.

References

Reported as: https://github.com/nodejs/undici/issues/3895

Software afectado

Haz clic en una tecnología para ver todas sus vulnerabilidades.

PlataformaPaqueteVersiones vulnerablesCorregida en
Paquete de npm undici < 5.29.0, >= 6.0.0, < 6.21.2, >= 7.0.0, < 7.5.0 5.29.0, 6.21.2, 7.5.0

Referencias

Puntuación CVSS 3.1/10
Vector CVSS
CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:N/I:N/A:L
Debilidad (CWE)
CWE-401
Plataforma
npm
Paquete
undici
Publicada
15.05.2025
Actualizado
11.10.2026 10:22

Fuentes y licencias

OSV / GitHub Advisory Database - GHSA-cxrh-j4jr-qwg3 - CC BY 4.0

Historial de vulnerabilidades: undici

Todas las vulnerabilidades publicadas de este paquete (Paquete de npm), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.

Todas (46) en el archivo
Entradas en total
46
Primera → última
06.2022 09.2026
Sin corrección
0
Explotada en ataques
0

Distribución por gravedad

  • Alta 13
  • Media 21
  • Baja 12

Divulgaciones por año

Gravedad:
  1. undici vulnerable to Denial of Service via unrequested WebSocket subprotocol
    Alta · 7.5 CVE-2026-19534 >= 6.7.0, < 6.28.1, >= 7.0.0, < 7.29.1, >= 8.0.0, < 8.10.2 6.28.1, 7.29.1, 8.10.2
  2. undici vulnerable to TLS certificate validation bypass via dropped connect options in BalancedPool
    Alta · 7.4 CVE-2026-84961 >= 7.24.1, < 7.29.1, >= 8.0.0, < 8.10.2 7.29.1, 8.10.2
  3. undici vulnerable to cross-origin cache poisoning via missing origin isolation in interceptors
    Alta · 7.4 CVE-2026-85152 >= 8.10.0, < 8.10.2 8.10.2
  4. undici vulnerable to cross-user information disclosure and parse-time crash via degenerate private cache directives
    Alta · 7.4 CVE-2026-13697 >= 7.0.0, < 7.29.0, >= 8.0.0, < 8.9.0 7.29.0, 8.9.0
  5. undici WebSocket client vulnerable to denial of service via fragment count bypass
    Alta · 7.5 CVE-2026-12151 < 6.27.0, >= 7.0.0, < 7.28.0, >= 8.0.0, < 8.5.0 6.27.0, 7.28.0, 8.5.0
  6. undici vulnerable to cross-origin request routing via SOCKS5 proxy pool reuse
    Alta · 7.5 CVE-2026-6734 >= 7.23.0, < 7.28.0, >= 8.0.0, < 8.2.0 7.28.0, 8.2.0
  7. undici vulnerable to TLS certificate validation bypass via dropped requestTls in SOCKS5 ProxyAgent
    Alta · 7.4 CVE-2026-9697 >= 7.23.0, < 7.28.0, >= 8.0.0, < 8.5.0 7.28.0, 8.5.0
  8. undici WebSocket client vulnerable to denial of service via cumulative fragment bypass
    Alta · 7.5 CVE-2026-9675 >= 8.0.0, < 8.5.0 8.5.0
  9. Undici has Unbounded Memory Consumption in WebSocket permessage-deflate Decompression
    Alta · 7.5 CVE-2026-1526 < 6.24.0, >= 7.0.0, < 7.24.0 6.24.0, 7.24.0
  10. Undici has Unhandled Exception in WebSocket Client Due to Invalid server_max_window_bits Validation
    Alta · 7.5 CVE-2026-2229 < 6.24.0, >= 7.0.0, < 7.24.0 6.24.0, 7.24.0
  11. Undici: Malicious WebSocket 64-bit length overflows parser and crashes the client
    Alta · 7.5 CVE-2026-1528 >= 6.0.0, < 6.24.0, >= 7.0.0, < 7.24.0 6.24.0, 7.24.0
  12. undici Denial of Service attack via bad certificate data esta entrada
    Baja · 3.1 CVE-2025-47279 < 5.29.0, >= 6.0.0, < 6.21.2, >= 7.0.0, < 7.5.0 5.29.0, 6.21.2, 7.5.0
  13. Regular Expression Denial of Service in Headers
    Alta · 7.5 CVE-2023-24807 < 5.19.1 5.19.1
  14. ProxyAgent vulnerable to MITM
    Alta · 7.7 CVE-2022-32210 >= 4.8.2, < 5.5.1 5.5.1

Identifica las vulnerabilidades de tu aplicación

Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.

Conectar tu aplicación
Newsletter DockRay

La seguridad de tus aplicaciones en tu correo

Vulnerabilidades importantes, recomendaciones concretas y consejos prácticos para tus aplicaciones. Elige tus tecnologías y sigue lo que importa para tu proyecto.

  • Un resumen diario de nuevas vulnerabilidades, también las críticas.
  • Avisos sobre actualizaciones importantes.
  • Consejos prácticos sobre seguridad y monitorización de aplicaciones.

Déjalo vacío para recibir avisos de todas las tecnologías.

Política de privacidad

Suscripción gratuita. Date de baja con un clic en cualquier correo.