CVE-2026-120423

Nome do Software Vulnerável e Versões Afetadas undici versões 7.15.0 até 7.30.1 undici versões 8.0.0 até 8.12.3

Descrição A função fetch verifica incorretamente os metadados de Subresource Integrity (SRI) ao dividir a string de integridade apenas por espaços simples. Como a gramática SRI permite qualquer espaço em branco ASCII, incluindo tabulações horizontais, qualquer digesto precedido por esse espaço é tratado como um token não reconhecido e ignorado. Se não restarem algoritmos reconhecidos, a lista de integridade é tratada como vazia, permitindo que um servidor retorne um corpo de resposta diferente do digesto fixado sem gerar um erro de integridade. Isso permite que um invasor que controle o corpo da resposta entregue bytes maliciosos a uma aplicação que utilize valores SRI cercados por espaços em branco.

Recomendações Atualize para a versão 7.30.2 ou posterior. Atualize para a versão 8.12.4 ou posterior. Forneça metadados de integridade SRI sem espaços em branco ao redor, utilizando apenas um espaço simples para separar múltiplos digestos.