CVE-2026-87018

Nome do Software Vulnerável e Versões Afetadas undici versões 4.2.1 through 6.29.0 undici versões 7.0.0 through 7.30.0 undici versões 8.0.0 through 8.12.1

Description Existe um problema na biblioteca de cliente HTTP onde o processo do cliente trava durante uma renegociação de servidor TLS 1.2. Isso ocorre quando um servidor apresenta um certificado confiável por CA com um nome de host que não corresponde ao host solicitado após o estabelecimento da conexão. O Node.js executa a verificação do nome do host no handshake renegociado e destrói o socket com um erro de certificate-altname. Como o manipulador de erros established-socket afirma incorretamente que esse código de erro nunca ocorreria, isso resulta em uma asserção não capturada que encerra o processo Node.js, afetando os caminhos HTTP/1.1 e HTTP/2. Um endpoint HTTPS malicioso ou comprometido pode causar essa falha por meio de uma única renegociação iniciada pelo servidor, afetando a função global fetch() e todas as requisições em andamento. Isso afeta apenas o TLS 1.2, pois o TLS 1.3 não suporta renegociação.

Recommendations Atualizar as versões 4.2.1 through 6.29.0 para 6.29.1 ou posterior. Atualizar as versões 7.0.0 through 7.30.0 para 7.30.1 ou posterior. Atualizar as versões 8.0.0 through 8.12.1 para 8.12.2 ou posterior. Restringir conexões de saída para TLS 1.3 para evitar a renegociação quando suportado pelos endpoints de destino.