CVE-2026-18149

Nome do Software Vulnerável e Versões Afetadas undici versões 7.11.0 até 7.29.0 undici versões 8.0.0 até 8.10.1

Description O manipulador de tentativas (retry handler) pode deixar o corpo de uma resposta pendente indefinidamente. Isso ocorre quando um servidor fornece uma resposta bem-sucedida com um Content-Length, mas fecha a conexão após enviar apenas parte do corpo. Se uma tentativa subsequente retornar um status não repetível (como 400), o manipulador encaminha a nova resposta e substitui o fluxo de resposta interno, deixando o corpo da resposta original retido pela aplicação sem ser encerrado ou destruído. Consequentemente, as chamadas que leem esse corpo nunca são finalizadas, e o tempo limite do corpo não é acionado porque o temporizador está vinculado ao analisador de conexão e não ao corpo órfão. Um servidor controlado por um invasor pode explorar isso enviando duas respostas curtas para acumular promessas e fluxos pendentes, potencialmente esgotando a memória ou a concorrência da aplicação, levando a um Denial of Service (DoS), que é uma condição onde um serviço fica indisponível para seus usuários pretendidos.

Recommendations Atualize para a versão 7.29.1 para versões no ramo 7.x. Atualize para a versão 8.10.2 para versões no ramo 8.x.