Zaloguj się
Deutsch English Español Polski
Średnia

undici vulnerable to cross-user cookie disclosure via Set-Cookie caching in shared caches

  • Ujawniono: 29.09.2026
  • Aktualizacja: 11.10.2026 10:22

Impact

undici's interceptors.cache() does not handle Set-Cookie in the cache path. In shared-cache mode (type: 'shared', the default), a cacheable response (for example Cache-Control: public, max-age=...) carrying a Set-Cookie header is stored, and the stored Set-Cookie is re-served to a later caller that hits the same cache key. This exposes one user's cookie to another caller and lets an untrusted upstream inject cookies into cached responses served to all subsequent callers, violating RFC 6265 section 7.2 (a shared cache must not store cookies). Applications using the shared cache interceptor against untrusted or multi-user upstreams are affected. Private caches (type: 'private') are not affected.

Patches

Upgrade to 7.29.1 or 8.10.2. In shared-cache mode, undici no longer stores or re-serves responses containing Set-Cookie, including previously cached entries and revalidation paths.

Workarounds

Use a private cache (type: 'private') for per-user responses, or avoid caching responses that set cookies. Applications acting as shared caches should strip Set-Cookie from responses before caching.

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

PlatformaPaczkaPodatne wersjePoprawka w wersji
Paczka npm undici >= 7.0.0, < 7.29.1, >= 8.0.0, < 8.10.2 7.29.1, 8.10.2

Odnośniki

Ocena CVSS 6.5/10
Wektor CVSS
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:L/A:N
Słabość (CWE)
CWE-200, CWE-524
Platforma
npm
Paczka
undici
Ujawniono
29.09.2026
Aktualizacja
11.10.2026 10:22

Źródła i licencje

OSV / GitHub Advisory Database - GHSA-2jfj-6hjv-fm6j - CC BY 4.0

Historia podatności: undici

Wszystkie opisane podatności tej paczki (Paczka npm), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkie (46) w archiwum
Wszystkich wpisów
46
Pierwsza → ostatnia
06.2022 09.2026
Bez poprawki
0
Wykorzystywana w atakach
0

Rozkład istotności

  • Wysoka 13
  • Średnia 21
  • Niska 12

Ujawnienia w latach

Istotność:
  1. undici vulnerable to Denial of Service via unrequested WebSocket subprotocol
    Wysoka · 7.5 CVE-2026-19534 >= 6.7.0, < 6.28.1, >= 7.0.0, < 7.29.1, >= 8.0.0, < 8.10.2 6.28.1, 7.29.1, 8.10.2
  2. undici vulnerable to cross-user cookie disclosure via Set-Cookie caching in shared caches ten wpis
    Średnia · 6.5 CVE-2026-84933 >= 7.0.0, < 7.29.1, >= 8.0.0, < 8.10.2 7.29.1, 8.10.2
  3. undici vulnerable to TLS certificate validation bypass via dropped connect options in BalancedPool
    Wysoka · 7.4 CVE-2026-84961 >= 7.24.1, < 7.29.1, >= 8.0.0, < 8.10.2 7.29.1, 8.10.2
  4. undici vulnerable to cross-origin cache poisoning via missing origin isolation in interceptors
    Wysoka · 7.4 CVE-2026-85152 >= 8.10.0, < 8.10.2 8.10.2
  5. undici vulnerable to cross-user information disclosure and parse-time crash via degenerate private cache directives
    Wysoka · 7.4 CVE-2026-13697 >= 7.0.0, < 7.29.0, >= 8.0.0, < 8.9.0 7.29.0, 8.9.0
  6. undici WebSocket client vulnerable to denial of service via fragment count bypass
    Wysoka · 7.5 CVE-2026-12151 < 6.27.0, >= 7.0.0, < 7.28.0, >= 8.0.0, < 8.5.0 6.27.0, 7.28.0, 8.5.0
  7. undici vulnerable to cross-origin request routing via SOCKS5 proxy pool reuse
    Wysoka · 7.5 CVE-2026-6734 >= 7.23.0, < 7.28.0, >= 8.0.0, < 8.2.0 7.28.0, 8.2.0
  8. undici vulnerable to TLS certificate validation bypass via dropped requestTls in SOCKS5 ProxyAgent
    Wysoka · 7.4 CVE-2026-9697 >= 7.23.0, < 7.28.0, >= 8.0.0, < 8.5.0 7.28.0, 8.5.0
  9. undici WebSocket client vulnerable to denial of service via cumulative fragment bypass
    Wysoka · 7.5 CVE-2026-9675 >= 8.0.0, < 8.5.0 8.5.0
  10. Undici has Unbounded Memory Consumption in WebSocket permessage-deflate Decompression
    Wysoka · 7.5 CVE-2026-1526 < 6.24.0, >= 7.0.0, < 7.24.0 6.24.0, 7.24.0
  11. Undici has Unhandled Exception in WebSocket Client Due to Invalid server_max_window_bits Validation
    Wysoka · 7.5 CVE-2026-2229 < 6.24.0, >= 7.0.0, < 7.24.0 6.24.0, 7.24.0
  12. Undici: Malicious WebSocket 64-bit length overflows parser and crashes the client
    Wysoka · 7.5 CVE-2026-1528 >= 6.0.0, < 6.24.0, >= 7.0.0, < 7.24.0 6.24.0, 7.24.0
  13. Regular Expression Denial of Service in Headers
    Wysoka · 7.5 CVE-2023-24807 < 5.19.1 5.19.1
  14. ProxyAgent vulnerable to MITM
    Wysoka · 7.7 CVE-2022-32210 >= 4.8.2, < 5.5.1 5.5.1

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację
Newsletter DockRay

Bezpieczeństwo aplikacji w Twojej skrzynce

Najważniejsze podatności, konkretne zalecenia i praktyczne wskazówki dla Twoich aplikacji. Wybierz technologie i śledź to, co ma znaczenie dla Twojego projektu.

  • Codzienne zestawienie nowych podatności, także krytycznych.
  • Powiadomienia o ważnych aktualizacjach.
  • Praktyczne porady o bezpieczeństwie i monitoringu aplikacji.

Pozostaw puste, aby otrzymywać informacje o wszystkich technologiach.

Polityka prywatności

Zapis jest bezpłatny. Wypiszesz się jednym kliknięciem w wiadomości.