CVE-2026-109932

Nome do Software Vulnerável e Versões Afetadas undici versões 5.15.0 through 6.29.0 undici versões 7.0.0 through 7.30.0 undici versões 8.0.0 through 8.12.1

Description O cliente WebSocket nesta biblioteca de cliente HTTP para Node.js pode ser forçado a esgotar a memória do processo por um servidor WebSocket malicioso ou comprometido. Quando o cliente recebe um frame PING, ele envia automaticamente uma resposta PONG, mas ignora o sinal de backpressure da gravação do socket. Um servidor que envia pequenos frames PING sem ler os PONGs resultantes faz com que a fila de gravação de saída e o heap cresçam indefinidamente, levando ao encerramento do processo devido ao esgotamento de memória. Este ataque remoto e não autenticado requer apenas uma conexão WebSocket padrão e impacta a disponibilidade do sistema.

Recommendations Atualizar as versões 5.15.0 through 6.29.0 para 6.29.1 ou posterior. Atualizar as versões 7.0.0 through 7.30.0 para 7.30.1 ou posterior. Atualizar as versões 8.0.0 through 8.12.1 para 8.12.2 ou posterior.