CVE-2026-109924

Nome do Software Vulnerável e Versões Afetadas undici versões 6.5.0 through 6.29.0 undici versões 7.0.0 through 7.30.0 undici versões 8.0.0 through 8.12.1

Description O cliente EventSource nesta biblioteca de cliente HTTP para Node.js pode ser forçado a esgotar a memória do processo por um peer de Server-Sent Events malicioso. Isso ocorre quando um peer envia milhões de pequenos campos de dados concluídos sem separadores de eventos em branco, ou uma única linha inacabada dividida em vários chunks. O parser acumula um estado por campo e por chunk que não é restringido pelos limites maxEventSize ou maxResponseSize. Além disso, como o maxResponseSize é aplicado ao corpo compactado antes da descompactação, uma pequena resposta compactada pode expandir-se em um volume de memória retida suficiente para encerrar o processo. Isso afeta aplicações que mantêm uma conexão EventSource com um peer não confiável e impacta a disponibilidade do sistema.

Recommendations Atualizar as versões 6.5.0 through 6.29.0 para 6.29.1 ou posterior. Atualizar as versões 7.0.0 through 7.30.0 para 7.30.1 ou posterior. Atualizar as versões 8.0.0 through 8.12.1 para 8.12.2 ou posterior.