CVE-2026-19534

Nome do Software Vulnerável e Versões Afetadas undici versões 6.7.0 até 6.28.0 undici versões 7.0.0 até 7.29.0 undici versões 8.0.0 até 8.10.1

Descrição O cliente WebSocket causa a interrupção do processo Node.js durante o handshake de abertura se um servidor responder com um subprotocolo que o cliente não solicitou. Quando a resposta 101 de um servidor inclui o cabeçalho Sec-WebSocket-Protocol, o cliente desreferencia um valor nulo ao validá-lo contra a lista solicitada, disparando um TypeError não capturado. Como isso ocorre dentro de uma microtask sem tratamento de erros, a exceção encerra o processo. Isso permite que um invasor remoto que controle um servidor ou realize um ataque de machine-in-the-middle em uma conexão de texto simples cause a Negação de Serviço sem autenticação.

Recomendações Atualize para a versão 6.28.1 para instalações usando o ramo 6.x. Atualize para a versão 7.29.1 para instalações usando o ramo 7.x. Atualize para a versão 8.10.2 para instalações usando o ramo 8.x.