CVE-2026-109383

اسم البرنامج المصاب والإصدارات المتأثرة undici الإصدارات 4.0.0 through 6.29.0 undici الإصدارات 7.0.0 through 7.30.0 undici الإصدارات 8.0.0 through 8.12.1

Description يقوم موزع Agent بإجراء عملية استنساخ عميق بناءً على JSON لخيارات المنشئ قبل توجيهها إلى مجموعات كل أصل. وبما أن JSON لا يمكنه تمثيل الدوال، فإن أي خيار tls يحتوي على استدعاء checkServerIdentity يتم إسقاطه بصمت. يؤدي ذلك إلى قبول طرف TLS إذا اجتاز فحوصات اسم المضيف والسلسلة الافتراضية، حتى لو تم كتابة checkServerIdentity مخصص لرفضه. يؤثر هذا الأمر على المسارات الافتراضية التي تستخدمها request و fetch و setGlobalDispatcher بالإضافة إلى المسارات المباشرة والمسارات التي لا تستخدم بروكسي في EnvHttpProxyAgent. التطبيقات التي تمرر خيارات tls ذات قيم دالية لمهام مثل تثبيت الشهادة أو المفتاح العام هي فقط المعرضة للخطر.

Recommendations تحديث الإصدارات 4.0.0 through 6.29.0 إلى 6.29.1 أو أحدث. تحديث الإصدارات 7.0.0 through 7.30.0 إلى 7.30.1 أو أحدث. تحديث الإصدارات 8.0.0 through 8.12.1 إلى 8.12.2 أو أحدث. كحل مؤقت، قم بتمرير خيارات TLS عبر connect بدلاً من tls أو استخدم requestTls و proxyTls للوجهات التي تستخدم بروكسي.