CVE-2026-109841

Nome do Software Vulnerável e Versões Afetadas undici versões 7.15.0 through 7.30.0 undici versões 8.0.0 through 8.12.1

Description A implementação da função fetch() nesta biblioteca de cliente HTTP para Node.js verifica incorretamente os metadados de Subresource Integrity (SRI). A biblioteca compara o token do algoritmo com um conjunto apenas em letras minúsculas, fazendo com que tokens válidos em maiúsculas ou mistas (como SHA256) sejam tratados como desconhecidos e ignorados. Quando não restam algoritmos reconhecidos, a lista de integridade é tratada como vazia e a resposta é aceita, independentemente de o corpo corresponder ao digest fixado. Isso permite que um invasor que controle o corpo da resposta entregue bytes maliciosos a uma aplicação que utilize tokens SRI não minúsculos sem gerar um erro de integridade.

Recommendations Atualizar para a versão 7.30.1 ou posterior. Atualizar para a versão 8.12.2 ou posterior. Como medida paliativa temporária, utilize tokens de algoritmo em letras minúsculas, como sha256, sha384 ou sha512, nos metadados de integridade.