CVE-2026-109383

Nome do Software Vulnerável e Versões Afetadas undici versões 4.0.0 through 6.29.0 undici versões 7.0.0 through 7.30.0 undici versões 8.0.0 through 8.12.1

Description O dispatcher Agent realiza uma clonagem profunda baseada em JSON das opções do construtor antes de encaminhá-las para os pools por origem. Como o JSON não pode representar funções, qualquer opção tls contendo um callback checkServerIdentity é silenciosamente descartada. Isso permite que um peer TLS seja aceito se passar pelas verificações padrão de hostname e cadeia, mesmo que um checkServerIdentity personalizado tenha sido escrito para rejeitá-lo. Este problema afeta os caminhos padrão usados por request, fetch e setGlobalDispatcher, bem como as rotas diretas e sem proxy do EnvHttpProxyAgent. Apenas aplicações que utilizam opções tls com valores de função para tarefas como pinning de certificado ou chave pública estão em risco.

Recommendations Atualizar as versões 4.0.0 through 6.29.0 para 6.29.1 ou posterior. Atualizar as versões 7.0.0 through 7.30.0 para 7.30.1 ou posterior. Atualizar as versões 8.0.0 through 8.12.1 para 8.12.2 ou posterior. Como alternativa, passe as opções TLS através de connect em vez de tls, ou use requestTls e proxyTls para destinos com proxy.