CVE-2026-109383

undici to biblioteka klienta HTTP dla Node.js. W wersjach od 4.0.0 do 6.29.0, od 7.0.0 do 7.30.0 i od 8.0.0 do 8.12.1 moduł rozsyłający agenta przekazuje opcje konstruktora przez głęboki klon oparty na JSON przed przekazaniem ich do każdej puli pochodzenia, a ponieważ JSON nie może reprezentować funkcji, dostarczana przez obiekt wywołujący opcja tls zawierająca wywołanie zwrotne checkServerIdentity jest po cichu odrzucana, zanim osiągnie warstwę TLS. W rezultacie element równorzędny TLS, którego certyfikat został zapisany w celu odrzucenia przez niestandardową metodę checkServerIdentity, ale który przechodzi domyślną nazwę hosta i sprawdzanie łańcucha Node, jest akceptowany w trybie cichym. Ponieważ Agent jest domyślnym modułem rozsyłającym żądania, pobierania i setGlobalDispatcher, ma to wpływ na ścieżkę używaną przez większość aplikacji, a EnvHttpProxyAgent ma wpływ również na jego trasy bezpośrednie i bez serwera proxy, przy czym zagrożone są tylko aplikacje, które przekazują opcję tls o wartościach funkcyjnych, taką jak niestandardowa checkServerIdentity do przypinania certyfikatu lub klucza publicznego. Problem został rozwiązany w undici 6.29.1, 7.30.1 i 8.12.2, które zachowują opcję tls poza klonem JSON, więc niestandardowe wywołania zwrotne weryfikacji są przekazywane bez zmian, a użytkownicy powinni dokonać aktualizacji do jednej z tych wersji lub nowszej. Jako obejście, przekaż opcje TLS przez connect zamiast tls lub w przypadku miejsc docelowych proxy użyj requestTls i proxyTls.