p PatchFirst

CVE-2026-22036

CVE-2026-22036 · Undici has an unbounded decompression chain in HTTP responses on Node.js Fetch API via Content-Encoding leads to resource exhaustion

Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.

Undici is an HTTP/1.1 client for Node.js. Prior to 7.18.0 and 6.23.0, the number of links in the decompression chain is unbounded and the default maxHeaderSize allows a malicious server to insert thousands compression steps leading to high CPU usage and excessive memory allocation. This vulnerability is fixed in 7.18.0 and 6.23.0.

CVSS 5.9 · Средний · EPSS 0,5% · Есть исправление

Опубликовано
Обновлено

Стек: system · node

Затронутые продукты и версии

  • undici

    Версии
    • < 6.23.0: Затронуто
    • >= 7.0.0, < 7.18.2: Затронуто

    Нет опубликованного исправления

  • node-undici Debian:12

    Версии
    • 5.15.0+dfsg1+~cs20.10.9.3-1
    • 5.15.0+dfsg1+~cs20.10.9.3-1+deb12u1
    • 5.15.0+dfsg1+~cs20.10.9.3-1+deb12u2
    • 5.15.0+dfsg1+~cs20.10.9.3-1+deb12u3
    • 5.15.0+dfsg1+~cs20.10.9.3-1+deb12u4
    • 5.19.1+dfsg1+~cs20.10.9.5-1
    • 5.19.1+dfsg1+~cs20.10.9.5-2
    • 5.22.1+dfsg1+~cs20.10.10.2-1
    • 5.26.3+dfsg1+~cs23.10.12-1
    • 5.26.3+dfsg1+~cs23.10.12-2
    • 5.26.3+dfsg1+~cs23.10.12-3
    • 5.28.0+dfsg1+~cs23.11.12.3-1
    • 5.28.0+dfsg1+~cs23.11.12.3-2
    • 5.28.2+dfsg1+~cs23.11.12.3-1
    • 5.28.2+dfsg1+~cs23.11.12.3-2
    • 5.28.2+dfsg1+~cs23.11.12.3-3
    • 5.28.2+dfsg1+~cs23.11.12.3-4
    • 5.28.2+dfsg1+~cs23.11.12.3-5
    • 5.28.2+dfsg1+~cs23.11.12.3-6
    • 5.28.4+dfsg1+~cs23.12.11-1
    • 5.28.4+dfsg1+~cs23.12.11-2
    • 7.1.0+dfsg1+~cs24.12.10-1
    • 7.15.0+dfsg+~cs3.2.0-1
    • 7.15.0+dfsg+~cs3.2.0-3
    • 7.16.0+dfsg+~cs3.2.0-1
    • 7.16.0+dfsg+~cs3.2.0-2
    • 7.18.2+dfsg+~cs3.2.0-1
    • 7.2.3+dfsg1+~cs24.12.11-1
    • 7.2.3+dfsg1+~cs24.12.11-2
    • 7.24.5+dfsg+~cs3.2.0-1
    • 7.24.6+dfsg+~cs3.2.0-1
    • 7.24.6+dfsg+~cs3.2.0-2
    • 7.24.6+dfsg+~cs3.2.0-3
    • 7.3.0+dfsg1+~cs24.12.11-1
    • 7.3.0+dfsg1+~cs24.12.11-2
    • 8.10.2+dfsg+~cs3.2.2-1
    • 8.5.0+dfsg+~cs3.2.0-1
    • 8.5.0+dfsg+~cs3.2.0-2
    • 8.5.0+dfsg+~cs3.2.0-3
    • 8.9.0+dfsg+~cs3.2.0-1
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • node-undici Debian:13

    Версии
    • 7.15.0+dfsg+~cs3.2.0-1
    • 7.15.0+dfsg+~cs3.2.0-3
    • 7.16.0+dfsg+~cs3.2.0-1
    • 7.16.0+dfsg+~cs3.2.0-2
    • 7.18.2+dfsg+~cs3.2.0-1
    • 7.24.5+dfsg+~cs3.2.0-1
    • 7.24.6+dfsg+~cs3.2.0-1
    • 7.24.6+dfsg+~cs3.2.0-2
    • 7.24.6+dfsg+~cs3.2.0-3
    • 7.3.0+dfsg1+~cs24.12.11-1
    • 7.3.0+dfsg1+~cs24.12.11-2
    • 8.10.2+dfsg+~cs3.2.2-1
    • 8.5.0+dfsg+~cs3.2.0-1
    • 8.5.0+dfsg+~cs3.2.0-2
    • 8.5.0+dfsg+~cs3.2.0-3
    • 8.9.0+dfsg+~cs3.2.0-1
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • node-undici Debian:14

    Версии
    • 7.15.0+dfsg+~cs3.2.0-1
    • 7.15.0+dfsg+~cs3.2.0-3
    • 7.16.0+dfsg+~cs3.2.0-1
    • 7.16.0+dfsg+~cs3.2.0-2
    • 7.3.0+dfsg1+~cs24.12.11-1
    • 7.3.0+dfsg1+~cs24.12.11-2
    Затронутые диапазоны версий
    • ECOSYSTEM: < 7.18.2+dfsg+~cs3.2.0-1

    Обновитесь до 7.18.2+dfsg+~cs3.2.0-1

  • undici npm

    Затронутые диапазоны версий
    • SEMVER: ≥ 7.0.0, < 7.18.2

    Обновитесь до 7.18.2

  • undici npm

    Затронутые диапазоны версий
    • SEMVER: < 6.23.0

    Обновитесь до 6.23.0

  • node-undici Ubuntu:24.04:LTS

    Версии
    • 5.22.1+dfsg1+~cs20.10.10.2-1ubuntu1
    • 5.26.3+dfsg1+~cs23.10.12-2
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • node-undici Ubuntu:25.10

    Версии
    • 7.3.0+dfsg1+~cs24.12.11-1
    • 7.3.0+dfsg1+~cs24.12.11-2
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • node-undici Ubuntu:26.10

    Версии
    • 7.18.2+dfsg+~cs3.2.0-1build1
    • 7.24.6+dfsg+~cs3.2.0-3
    • 8.5.0+dfsg+~cs3.2.0-2
    • 8.5.0+dfsg+~cs3.2.0-3
    • 8.9.0+dfsg+~cs3.2.0-1
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • node-undici Ubuntu:26.04:LTS

    Версии
    • 7.3.0+dfsg1+~cs24.12.11-2
    • 7.16.0+dfsg+~cs3.2.0-2
    • 7.18.2+dfsg+~cs3.2.0-1
    • 7.18.2+dfsg+~cs3.2.0-1build1
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

Первоисточники

Проверьте свой сервер →