يُعتبر عميل undici WebSocket عرضة لهجوم «رفض الخدمة» (DoS) بسبب عدم كفاية التحقق من صحة المعلمة `server max window bits` ضمن ملحق permessage-deflate. عندما يقوم عميل WebSocket بإنشاء اتصال مع خادم، فإنه يشير تلقائيًا إلى دعمه لضغط permessage-deflate. يمكن لخادم ضار أن يرد بقيمة `server max window bits` تقع خارج النطاق الصالح لـ zlib (8-15). وبالتالي، عندما يرسل الخادم إطارًا مضغوطًا، يحاول العميل إنشاء مثيل لكائن zlib InflateRaw باستخدام قيمة `windowBits` غير صالحة، مما يؤدي إلى حدوث خطأ RangeError متزامن لا يتم معالجته، مما يتسبب في النهاية في إنهاء عملية Node.js. تنشأ هذه المشكلة لأن الدالة `isValidClientWindowBits()` تتحقق فقط من أن القيمة تتكون من أرقام ASCII، دون التأكد من أنها تقع ضمن النطاق المقبول. بالإضافة إلى ذلك، لا يتم تضمين استدعاء `createInflateRaw()` في كتلة try-catch، وينتشر الاستثناء الناتج عبر مكدس الاستدعاءات، مما يؤدي إلى تعطل العملية.