Khafradev

undici is an HTTP client library for Node.js. In versions 6.5.0 through 6.29.0, 7.0.0 through 7.30.0, and 8.0.0 through 8.12.1, its EventSource client can be driven to exhaust process memory by a malicious or compromised Server-Sent Events peer. By sending millions of tiny completed data fields with no blank event separator, or a single unfinished line split across many chunks, the parser retains a growing amount of per-field and per-chunk state that the byte-based maxEventSize and maxResponseSize limits do not bound, and because maxResponseSize is enforced on the compressed body before decompression, a small compressed response can expand into enough retained memory to terminate the process. An application only needs to maintain an EventSource connection to an untrusted peer, which controls only the response, and availability is the only impact. The issue is fixed in undici 6.29.1, 7.30.1, and 8.12.2, which bound the retained parser state independently of the byte limits, and users should upgrade to one of those versions or later. There is no workaround.

undici is an HTTP client library for Node.js. In versions 7.15.0 through 7.30.0 and 8.0.0 through 8.12.1, its fetch() implementation verifies Subresource Integrity metadata by matching the algorithm token against a lowercase-only set, even though the SRI specification defines the token by its ASCII-lowercase form, so a valid but non-lowercase token such as an uppercase or mixed-case SHA256 is treated as unknown and skipped. When no recognized algorithm remains, undici treats the integrity list as empty and accepts the response, so a server returning a body that does not match the pinned digest passes the check. An attacker who controls only the response body can therefore deliver attacker-controlled bytes to an application that pinned a valid uppercase or mixed-case SRI token, with no integrity error, affecting response integrity only. The issue is fixed in undici 7.30.1 and 8.12.2, which normalize the algorithm token to ASCII lowercase before validation, and users should upgrade to one of those versions or later. As a workaround, use lowercase algorithm tokens such as sha256, sha384, or sha512 in integrity metadata.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات «undici» من 5.15.0 إلى 6.25.x إصدارات «undici» من 7.0.0 إلى 7.27.x إصدارات «undici» من 8.0.0 إلى 8.4.x **الوصف** عند تحليل رأس Set-Cookie، يقبل البرنامج أي قيمة لسمة SameSite تحتوي على Strict أو Lax أو None كسلسلة فرعية بدلاً من اشتراط تطابق تام غير حساس لحالة الأحرف كما هو محدد في RFC 6265. وهذا يسمح بتعيين القيم غير المطابقة للمواصفات إلى الرموز القياسية دون إشعار؛ على سبيل المثال، يتم تحليل SameSite=NoneOfYourBusiness على أنه None، ويتم تحليل SameSite=StrictLax على أنه Lax. يمكن لخادم ضار أو غير متوافق إجبار التطبيقات التي تستخدم رؤوس Set-Cookie عبر مسارات كود fetch أو الوكيل، وتعتمد على السمة `sameSite` التي تم تحليلها، على تطبيق سياسة SameSite أضعف، مما يؤدي إلى إضعاف تطبيق ملفات تعريف الارتباط المقصود. **التوصيات** قم بالترقية إلى الإصدار 6.26.0. قم بالترقية إلى الإصدار 7.28.0. قم بالترقية إلى الإصدار 8.5.0. كحل مؤقت، تحقق من أن السمة `sameSite` الناتجة هي بالضبط ’Strict‘ أو ’Lax‘ أو ’None‘ (بغض النظر عن حالة الأحرف) بعد تحليل رأس Set-Cookie وقبل الاعتماد عليه.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات «undici» 6.x السابقة للإصدار 6.26.0 إصدارات «undici» من 7.0.0 حتى 7.27.x إصدارات «undici» 8.x السابقة للإصدار 8.5.0 **الوصف** يقوم محلل ملفات تعريف الارتباط في دالة `parseSetCookie` بفك تشفير قيم ملفات تعريف الارتباط المعبَّأة بنسبة مئوية باستخدام `qsUnescape`، الذي يحول التسلسلات المشفرة مثل %0D%0A و%00 و%3B و%3D إلى ما يعادلها من بايت حرفية. ويخالف هذا السلوك ما ورد في RFC 6265 §5.4 ومعايير المتصفحات، التي لا تحدد مثل هذا النوع من فك التشفير. التطبيقات التي تستخدم `parseSetCookie` أو `parseCookie` أو `getSetCookies` وتقوم بعد ذلك بإعادة توجيه هذه القيم التي تم تحليلها إلى رؤوس الاستجابة (مثل البروكسيات أو البرامج الوسيطة أو أطر عمل SSR) تكون عرضة لحقن رؤوس استجابة HTTP. وهذا يسمح لمصدر أعلى يتحكم فيه المهاجم بحقن رؤوس Set-Cookie أو Location أو Cache-Control تعسفية في الاستجابة النهائية، مما قد يؤدي إلى تثبيت الجلسة أو إعادة التوجيه المفتوح أو تسميم ذاكرة التخزين المؤقت. **التوصيات** قم بالترقية إلى الإصدار 6.26.0 للإصدارات الموجودة في فرع 6.x. قم بالترقية إلى الإصدار 7.28.0 للإصدارات الموجودة في فرع 7.x. قم بالترقية إلى الإصدار 8.5.0 للإصدارات الموجودة في فرع 8.x. كحل مؤقت، قم بتنقية القيم التي تُرجعها `parseSetCookie()` أو `parseCookie()` أو `getSetCookies()` لإزالة أو رفض بايتات CR وLF وNUL و; و= قبل إعادة توجيهها إلى رؤوس الاستجابة.