CVE-2026-109829

اسم البرنامج المتأثر والإصدارات المتأثرة undici الإصدارات 7.0.0 through 7.30.0 undici الإصدارات 8.0.0 through 8.12.1

Description توجد مشكلة في مكتبة عميل HTTP هذه لـ Node.js عندما يقوم Agent بدون أصل بتكوين معترضات إعادة التوجيه والتخزين المؤقت بهذا الترتيب المحدد مع استخدام مخزن ذاكرة مؤقتة مشترك. يقوم التخزين المؤقت بإنشاء مفتاحه من URL الطلب الأصلي قبل أن يقوم معالج إعادة التوجيه بتغيير الأصل، مما يؤدي إلى تخزين الاستجابات الناتجة عن إعادة توجيه عبر الأصل تحت المفتاح الأصلي. يمكن أن يؤدي ذلك إلى تسميم مستمر لذاكرة التخزين المؤقت إذا كان المهاجم يتحكم في هدف إعادة التوجيه من URL موثوق. بالإضافة إلى ذلك، قد يؤدي ذلك إلى الكشف عن بيانات خاصة إذا تم تخزين استجابة إعادة توجيه خاصة بمورد محدد للمستخدم تحت URL الأصلي وتقديمها لمتصلين غير مصرح لهم. تحدث هذه المشكلة فقط عند استخدام Agent بدون أصل، ومخزن ذاكرة مؤقتة مشترك، وتكوين إعادة التوجيه ثم التخزين المؤقت معاً.

Recommendations تحديث الإصدارات 7.0.0 through 7.30.0 إلى 7.30.1 أو أحدث. تحديث الإصدارات 8.0.0 through 8.12.1 إلى 8.12.2 أو أحدث. تكوين معترض التخزين المؤقت قبل معترض إعادة التوجيه. استخدام موزعات ومخازن ذاكرة مؤقتة لكل أصل على حدة. تعطيل التخزين المؤقت المشترك في الطلبات القابلة لإعادة التوجيه.