CVE-2026-109855

Nome do Software Vulnerável e Versões Afetadas undici versões 8.11.0 a 8.11.1

Descrição O cliente WebSocket experimental nesta biblioteca de cliente HTTP para Node.js lida incorretamente com falhas no handshake do WebSocket via HTTP/2. Como a requisição é marcada como concluída, a operação de aborto é ignorada, deixando o stream HTTP/2 subjacente aberto e sem um ouvinte de erros. Um servidor remoto não autenticado pode causar a negação de serviço ao destruir a conexão, fazendo com que o stream órfão emita um erro não tratado que encerra o processo do Node.js.

Recomendações Atualize para a versão 8.11.2 ou posterior. Defina allowH2 como false para desativar o HTTP/2 para conexões WebSocket. Evite abrir conexões WebSocket com servidores não confiáveis.