Zaloguj się
Deutsch English Español Polski
Średnia

Use of Insufficiently Random Values in undici

  • Ujawniono: 21.01.2025
  • Aktualizacja: 11.10.2026 10:22

Impact

Undici fetch() uses Math.random() to choose the boundary for a multipart/form-data request. It is known that the output of Math.random() can be predicted if several of its generated values are known.

If there is a mechanism in an app that sends multipart requests to an attacker-controlled website, they can use this to leak the necessary values. Therefore, An attacker can tamper with the requests going to the backend APIs if certain conditions are met.

Patches

This is fixed in 5.28.5; 6.21.1; 7.2.3.

Workarounds

Do not issue multipart requests to attacker controlled servers.

References

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

PlatformaPaczkaPodatne wersjePoprawka w wersji
Paczka npm undici >= 4.5.0, < 5.28.5, >= 6.0.0, < 6.21.1, >= 7.0.0, < 7.2.3 5.28.5, 6.21.1, 7.2.3

Odnośniki

Ocena CVSS 6.8/10
Wektor CVSS
CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:N
Słabość (CWE)
CWE-330
Platforma
npm
Paczka
undici
Ujawniono
21.01.2025
Aktualizacja
11.10.2026 10:22

Źródła i licencje

OSV / GitHub Advisory Database - GHSA-c76h-2ccp-4975 - CC BY 4.0

Historia podatności: undici

Wszystkie opisane podatności tej paczki (Paczka npm), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkie (46) w archiwum
Wszystkich wpisów
46
Pierwsza → ostatnia
06.2022 09.2026
Bez poprawki
0
Wykorzystywana w atakach
0

Rozkład istotności

  • Wysoka 13
  • Średnia 21
  • Niska 12

Ujawnienia w latach

Istotność:
  1. undici vulnerable to Denial of Service via unrequested WebSocket subprotocol
    Wysoka · 7.5 CVE-2026-19534 >= 6.7.0, < 6.28.1, >= 7.0.0, < 7.29.1, >= 8.0.0, < 8.10.2 6.28.1, 7.29.1, 8.10.2
  2. undici vulnerable to TLS certificate validation bypass via dropped connect options in BalancedPool
    Wysoka · 7.4 CVE-2026-84961 >= 7.24.1, < 7.29.1, >= 8.0.0, < 8.10.2 7.29.1, 8.10.2
  3. undici vulnerable to cross-origin cache poisoning via missing origin isolation in interceptors
    Wysoka · 7.4 CVE-2026-85152 >= 8.10.0, < 8.10.2 8.10.2
  4. undici vulnerable to cross-user information disclosure and parse-time crash via degenerate private cache directives
    Wysoka · 7.4 CVE-2026-13697 >= 7.0.0, < 7.29.0, >= 8.0.0, < 8.9.0 7.29.0, 8.9.0
  5. undici WebSocket client vulnerable to denial of service via fragment count bypass
    Wysoka · 7.5 CVE-2026-12151 < 6.27.0, >= 7.0.0, < 7.28.0, >= 8.0.0, < 8.5.0 6.27.0, 7.28.0, 8.5.0
  6. undici vulnerable to cross-origin request routing via SOCKS5 proxy pool reuse
    Wysoka · 7.5 CVE-2026-6734 >= 7.23.0, < 7.28.0, >= 8.0.0, < 8.2.0 7.28.0, 8.2.0
  7. undici vulnerable to TLS certificate validation bypass via dropped requestTls in SOCKS5 ProxyAgent
    Wysoka · 7.4 CVE-2026-9697 >= 7.23.0, < 7.28.0, >= 8.0.0, < 8.5.0 7.28.0, 8.5.0
  8. undici WebSocket client vulnerable to denial of service via cumulative fragment bypass
    Wysoka · 7.5 CVE-2026-9675 >= 8.0.0, < 8.5.0 8.5.0
  9. Undici has Unbounded Memory Consumption in WebSocket permessage-deflate Decompression
    Wysoka · 7.5 CVE-2026-1526 < 6.24.0, >= 7.0.0, < 7.24.0 6.24.0, 7.24.0
  10. Undici has Unhandled Exception in WebSocket Client Due to Invalid server_max_window_bits Validation
    Wysoka · 7.5 CVE-2026-2229 < 6.24.0, >= 7.0.0, < 7.24.0 6.24.0, 7.24.0
  11. Undici: Malicious WebSocket 64-bit length overflows parser and crashes the client
    Wysoka · 7.5 CVE-2026-1528 >= 6.0.0, < 6.24.0, >= 7.0.0, < 7.24.0 6.24.0, 7.24.0
  12. Use of Insufficiently Random Values in undici ten wpis
    Średnia · 6.8 CVE-2025-22150 >= 4.5.0, < 5.28.5, >= 6.0.0, < 6.21.1, >= 7.0.0, < 7.2.3 5.28.5, 6.21.1, 7.2.3
  13. Regular Expression Denial of Service in Headers
    Wysoka · 7.5 CVE-2023-24807 < 5.19.1 5.19.1
  14. ProxyAgent vulnerable to MITM
    Wysoka · 7.7 CVE-2022-32210 >= 4.8.2, < 5.5.1 5.5.1

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację
Newsletter DockRay

Bezpieczeństwo aplikacji w Twojej skrzynce

Najważniejsze podatności, konkretne zalecenia i praktyczne wskazówki dla Twoich aplikacji. Wybierz technologie i śledź to, co ma znaczenie dla Twojego projektu.

  • Codzienne zestawienie nowych podatności, także krytycznych.
  • Powiadomienia o ważnych aktualizacjach.
  • Praktyczne porady o bezpieczeństwie i monitoringu aplikacji.

Pozostaw puste, aby otrzymywać informacje o wszystkich technologiach.

Polityka prywatności

Zapis jest bezpłatny. Wypiszesz się jednym kliknięciem w wiadomości.