PT-2026-114837
CVE-2026-109855
·
تاريخ النشر
2026-10-15
·
تاريخ التحديث
2026-10-29
الوصف من
CVSS 3.1
7.5
عاليةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
اسم البرنامج المتأثر والإصدارات المتأثرة
undici الإصدارات من 8.11.0 إلى 8.11.1
الوصف
يتعامل عميل WebSocket التجريبي في مكتبة عميل HTTP لـ Node.js بشكل خاطئ مع فشل مصافحة WebSocket عبر HTTP/2. نظرًا لأن الطلب يتم تمييزه على أنه مكتمل، تصبح عملية الإلغاء غير فعالة، مما يترك تدفق HTTP/2 الأساسي مفتوحًا بدون مستمع للأخطاء. يمكن لخادم بعيد غير مصرح له أن يتسبب في حجب الخدمة عن طريق تدمير الاتصال، مما يؤدي إلى إصدار التدفق اليتيم لخطأ غير معالج يتسبب في إغلاق عملية Node.js.
التوصيات
التحديث إلى الإصدار 8.11.2 أو أحدث.
تعيين
allowH2 إلى false لتعطيل HTTP/2 لاتصالات WebSocket.
تجنب فتح اتصالات WebSocket مع خوادم غير موثوقة.قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾