undici vulnerable to downstream response desynchronization via retry interceptor
undici's retry interceptor can deliver a response whose body length does not match the Content-Length header exposed to the application after a retry or resume of a partial response. In undici before 6.28.0, from 7.0.0 up to before 7.29.0, and from 8.0.0 up to before 8.9.0, a malicious or faulty upstream can return a partial response with a mismatched framing header, close the socket early, and have the retry interceptor assemble a body of a different length while the original Content-Length stays attached. Applications that use the retry interceptor and forward upstream headers and bodies downstream, such as proxies or gateways, may then emit an invalid HTTP response with a stale Content-Length, leading to downstream response desynchronization, connection hangs, or response corruption. Exploitation requires the retry interceptor enabled, an upstream returning a mismatched partial response, and a downstream forwarder that does not remove or recalculate Content-Length. The issue is fixed in undici 6.28.0, 7.29.0, and 8.9.0.
Noroxi analizi
Bu kayıt için henüz Noroxi analizi yok
Veritabanındaki yüz binlerce zafiyetin tamamına elle analiz yazmıyoruz; bu dürüst olmazdı. Öne çıkan ve sahada etkisi olan zafiyetler için mekanizma, tespit ve kapatma adımlarını ekibimiz yazıyor.
Bu ürünü kullanıyoruz, yardım isteyin- Yayın
- 29 Tem 2026
- Güncelleme
- 4 Ağu 2026
- EPSS
- %0,2 · 6. yüzdelik
- CWE
- CWE-444
Takip etmek için giriş yap · Takip ettiğin kayıt KEV’e girer, istismarı çıkar ya da güncellenirse bildirim alırsın.
Rapor araçları
Aksiyon skoru
26
İzleyin
Şimdilik düşük öncelik.
- CVSS
- 26 / 40 · 6.5 / 10
- CISA KEV
- 0 / 30 · Listede değil
- EPSS
- 0 / 30 · %0,2
CISA SSVC kararı
- Sömürü
- yok
- Otomatikleştirilebilir
- hayır
- Teknik etki
- kısmi
Vulnrichment: CISA'nın karar ağacı girdileri.
CNA ile NVD puanı
- NVD
- 6,5
- CNA · openjs
- 4,8
- 1,7 puan fark
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:L/A:N
Kaydı açan otoritenin puanı ile NVD’nin bağımsız puanı. İki puan arasındaki fark ciddiyetin tartışmalı olduğunu gösterir.
Etkilenen sistemler
| Üretici | Ürün | CPE |
|---|---|---|
| nodejs | undici | cpe:2.3:a:nodejs:undici |
Etkilenen sürümler
NVD sürüm aralıkları (katalogdaki ürünler için). Stack’ine sürümle eklersen eşleşme bunlarla yapılır.
- nodejs undici6.28.0 öncesi
- nodejs undici7.0.0 ve sonrası · 7.29.0 öncesi
- nodejs undici8.0.0 ve sonrası · 8.9.0 öncesi
Üreticinin bildirdiği sürümler
Kaydı açan otorite (openjs) tarafından bildirilen etkilenen sürüm aralıkları. NVD'nin CPE analizinden bağımsızdır ve genellikle ondan önce gelir.
undici undici
- 6.28.0, 7.29.0, 8.9.0etkilenmez
- 6.28.0 öncesietkilenir · semver
- 7.0.0 ve sonrası · 7.29.0 öncesietkilenir · semver
- 8.0.0 ve sonrası · 8.9.0 öncesietkilenir · semver
Paket düzeyi etkilenme
OSV ve GitHub Advisory verisi: ekosistem, paket ve aralık. SBOM eşleşmesi bu tabloyu kullanır.
| Ekosistem | Paket | Etkilenen aralık | Düzeltme |
|---|---|---|---|
| Debian:12 | node-undici | tüm sürümler | — |
| Debian:14 | node-undici | 8.9.0+dfsg+~cs3.2.0-1 öncesi | 8.9.0+dfsg+~cs3.2.0-1 |
| npm | undici | 7.0.0 itibarıyla · 7.29.0 öncesi | 7.29.0 |
| npm | undici | 8.0.0 itibarıyla · 8.9.0 öncesi | 8.9.0 |
| npm | undici | 6.28.0 öncesi | 6.28.0 |
| Red Hat:hummingbird:1 | nodejs24 | 0:24.18.1-0.1.hum1 öncesi | 0:24.18.1-0.1.hum1 |
| Red Hat:hummingbird:1 | nodejs24-bin | 0:24.18.1-0.1.hum1 öncesi | 0:24.18.1-0.1.hum1 |
| Red Hat:hummingbird:1 | nodejs26 | 0:26.5.1-1.5.hum1 öncesi | 0:26.5.1-1.5.hum1 |
| Red Hat:hummingbird:1 | nodejs26-bin | 0:26.5.1-1.5.hum1 öncesi | 0:26.5.1-1.5.hum1 |
| SUSE:Linux Enterprise High Performance Computing 15 SP4-ESPOS | nodejs18 | 18.20.8-150400.9.39.1 öncesi | 18.20.8-150400.9.39.1 |
| SUSE:Linux Enterprise High Performance Computing 15 SP5-ESPOS | nodejs20 | 20.20.2-150500.11.30.1 öncesi | 20.20.2-150500.11.30.1 |
| SUSE:Linux Enterprise Server 12 SP5-LTSS | nodejs18 | 18.20.8-8.44.1 öncesi | 18.20.8-8.44.1 |
| SUSE:Linux Enterprise Server 15 SP6-LTSS | nodejs20 | 20.20.2-150600.3.21.1 öncesi | 20.20.2-150600.3.21.1 |
Aynı üründe
nodejs: tüm kayıtlarAynı birincil ürünün en yüksek skorlu diğer kayıtları.
- CVE-2022-35949`undici.request` vulnerable to SSRF using absolute URL on `pathname`40Planlayın
- CVE-2026-1525undici is vulnerable to Inconsistent Interpretation of HTTP Requests ('HTTP Request/Response Smuggling')39İzleyin
- CVE-2026-84961undici vulnerable to TLS certificate validation bypass via dropped connect options in BalancedPool36İzleyin
- CVE-2026-13697undici vulnerable to cross-user information disclosure and parse-time crash via degenerate private cache directives36İzleyin
- CVE-2026-6734undici vulnerable to cross-origin request routing via SOCKS5 proxy pool reuse35İzleyin
- CVE-2026-84933undici vulnerable to cross-user cookie disclosure via Set-Cookie caching in shared caches32İzleyin
Düzeltme
Hangi sürüme geçmeli
Üretici, paket deposu ve Microsoft kayıtlarından derlenen düzeltme sürümleri. Yükseltmeden önce üreticinin notunu doğrulayın.
| Ürün / paket | Düzeltilmiş sürüm | Kaynak |
|---|---|---|
| undici undici | 6.28.0 | Üretici (CNA) |
| undici undici | 7.29.0 | Üretici (CNA) |
| undici undici | 8.9.0 | Üretici (CNA) |
| debian:node-undici | 8.9.0+dfsg+~cs3.2.0-1 · Debian:14 | Paket deposu (OSV) |
| npm:undici | 6.28.0 | Paket deposu (OSV) |
| npm:undici | 7.29.0 | Paket deposu (OSV) |
| npm:undici | 8.9.0 | Paket deposu (OSV) |
| red hat:nodejs24 | 0:24.18.1-0.1.hum1 · Red Hat:hummingbird:1 | Paket deposu (OSV) |
| red hat:nodejs24-bin | 0:24.18.1-0.1.hum1 · Red Hat:hummingbird:1 | Paket deposu (OSV) |
| red hat:nodejs26 | 0:26.5.1-1.5.hum1 · Red Hat:hummingbird:1 | Paket deposu (OSV) |
| red hat:nodejs26-bin | 0:26.5.1-1.5.hum1 · Red Hat:hummingbird:1 | Paket deposu (OSV) |
| suse:nodejs18 | 18.20.8-8.44.1 · SUSE:Linux Enterprise Server 12 SP5-LTSS | Paket deposu (OSV) |
| suse:nodejs20 | 20.20.2-150600.3.21.1 · SUSE:Linux Enterprise Server 15 SP6-LTSS | Paket deposu (OSV) |
İstismar durumu
Bilinen kamuya açık istismar yok
Şu an kamuya açık bir istismar görülmedi. Bu, güvende olduğunuz anlamına gelmez; yalnızca eşiğin biraz daha yüksek olduğunu gösterir.
Araştırma bağlamı
Pentester ve araştırmacı için: saldırı profili, puan anlaşmazlığı, zaman çizelgesi, yama commit’leri, kredi, varyant ve zincir adayları, bug bounty kapsamı. Hepsi mevcut veriden türetilir; istismar kodu içermez.
Zaman çizelgesi
Yayından bugüne: kavram kanıtı, Metasploit modülü, CISA KEV ve düzeltme kaydı. Tarihler kaynakların bildirdiği tarihlerdir.
Yayın dışında tarihli olay yok.
FIRST EPSS günlük puanı; yalnızca 0,01 ve üstü değişimler kaydedilir (adım grafiği).
Yama ve commit bağlantıları
Referanslardaki commit, PR ve diff adresleri. Patch-diff ve varyant avı için başlangıç noktası; istismar değil, düzeltmedir.
Referanslarda commit ya da PR bağlantısı yok.
Kredi
Tüm araştırmacılarCNA kaydında adı geçen bulan, bildiren ve analistler. Ada tıkla, aynı araştırmacının diğer kayıtlarını gör.
- samuel871211bildiren
- mcollinadüzeltme geliştirici
- UlisesGascondüzeltme inceleyici
Varyant adayları
Aynı üründe aynı zafiyet sınıfı, 18 ay içinde. Yama kök nedeni kapatmadıysa kardeş hata burada olur.
- CVE-2026-1525139 gün araylaundici is vulnerable to Inconsistent Interpretation of HTTP Requests ('HTTP Request/Response Smuggling')39İzleyin
- CVE-2026-1854037 gün araylaundici vulnerable to downstream response splitting via retry interceptor14İzleyin
Zincir adayları
Aynı üründe kimlik doğrulama atlatma ile yetki isteyen bir açık kısa aralıkla yayımlanmış: birlikte kimlik doğrulamasız bir yola dönüşebilir.
—
Bug bounty kapsamı
Ürünün üreticisi herkese açık bir programda görünüyor. Eşleşme ad üzerinden yapıldı; kapsam metnini programda doğrulayın.
Teknik detay
Saldırı koşulları
- İnternetten erişebilen herkes tetikleyebilir.
- Hesap ya da parola gerekmez.
- Kullanıcının bir şey yapması gerekmez.
- Özel bir koşul gerekmez; tekrarlanabilir.
Başarılı olursa
- Gizlilik
- yok
- Bütünlük
- düşük · veri ya da yapılandırma değiştirilebilir
- Erişilebilirlik
- düşük · hizmet durdurulabilir
- Saldırı vektörü
- Ağ
- Karmaşıklık
- Düşük
- Gereken yetki
- Yok
- Kullanıcı etkileşimi
- Gerekmez
- Kapsam
- Değişmez
- Gizlilik etkisi
- Yok
- Bütünlük etkisi
- Düşük
- Erişilebilirlik etkisi
- Düşük
Zayıflık sınıfı (CWE)
CWE-444 · Inconsistent Interpretation of HTTP Requests ('HTTP Request/Response Smuggling')CVSS vektörü
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:L
nvd-primary
Saldırı bağlamı
Bu zafiyet sınıfının (CWE) MITRE CAPEC saldırı desenleri ve ATT&CK teknikleri. Tespit kuralı ve tehdit avı için başlangıç noktası.
Saldırı desenleri (CAPEC)
ATT&CK teknikleri
—
Değişiklik günlüğü
- Düzeltme✗ → ✓
Takip ettiğiniz kayıtlarda bu değişiklikler bildirim olarak da gelir. →
Referanslar
- cna.openjsf.org/security-advisories.html
- github.com/nodejs/undici/security/advisories/GHSA-8xcm-r25x-g524
Üretici bildirimleri ve resmî kayıtlar. İstismar/PoC bağlantıları bilinçli olarak dışarıda bırakıldı.