CVE-2026-14643

Nome do Software Vulnerável e Versões Afetadas undici versões 7.0.0 até 7.28.x undici versões 8.0.0 até 8.8.x

Description O interceptor de cache lida incorretamente com espaços em branco opcionais ao redor do sinal de igual em diretivas no-cache ou private qualificadas do Cache-Control. O analisador pode descartar a diretiva ou armazenar um nome de campo contendo caracteres de aspas literais, fazendo com que a decisão de cache ignore a qualificação e armazene a resposta. No modo de cache compartilhado, isso pode permitir que uma resposta contendo dados autenticados de um usuário seja servida a um chamador posterior, incluindo usuários não autenticados, caso ambas as solicitações resolvam para a mesma chave de cache. Este problema afeta aplicações que habilitam o interceptor de cache em modo compartilhado, encaminham cabeçalhos Authorization para upstream e recebem respostas cacheáveis com diretivas qualificadas contendo espaços em branco ao redor do sinal de igual.

Recommendations Atualizar para a versão 7.29.0. Atualizar para a versão 8.9.0.