CVE-2026-16729

Nome do Software Vulnerável e Versões Afetadas undici versões anteriores a 6.28.0 undici versões 7.0.0 até 7.28.9 undici versões 8.0.0 até 8.8.9

Description A função setCookie() não sanitiza completamente os atributos de cookies. Especificamente, o valor do domínio não é verificado quanto a pontos e vírgulas e as entradas no array não analisado não são sanitizadas. Isso permite que entradas influenciadas por atacantes injetem atributos de cookies adicionais. Por exemplo, um valor de domínio contendo um ponto e vírgula pode anexar atributos como SameSite, e uma entrada não analisada pode injetar atributos como HttpOnly sem a intenção do chamador. Aplicações que passam entradas controladas pelo usuário para esses campos, como servidores de proxy reverso ou multi-tenant que limitam cookies de sessão a domínios fornecidos pelo locatário, podem ter as proteções CSRF do SameSite ignoradas ou ter os atributos Secure, HttpOnly e SameSite forçados, removidos ou substituídos.

Recommendations Atualizar para a versão 6.28.0 Atualizar para a versão 7.29.0 Atualizar para a versão 8.9.0