CVE-2026-109932

undici to biblioteka klienta HTTP dla Node.js. W wersjach od 5.15.0 do 6.29.0, od 7.0.0 do 7.30.0 i od 8.0.0 do 8.12.1 jego klient WebSocket, w tym dołączony pakiet WebSocket udostępniany przez Node.js, może zostać zmuszony do wyczerpania pamięci procesowej przez złośliwy lub zagrożony serwer WebSocket. Dla każdej odebranej ramki PING klient automatycznie zapisuje odpowiedź PONG i ignoruje sygnał przeciwciśnienia z zapisu w gnieździe, więc serwer, który przesyła strumieniowo małe ramki PING, nigdy nie czytając pakietów PONG klienta, powoduje, że kolejka zapisu wychodzącego i sterta rosną bez ograniczeń, aż do wyczerpania się pamięci procesu Node.js i jego zakończenia. Atak jest zdalny i nieuwierzytelniony, wymaga jedynie normalnego połączenia WebSocket i jest asymetryczny, ponieważ małe przychodzące polecenia PING tworzą znacznie większą utrzymywaną kolejkę wychodzącą, a jedynym wpływem jest dostępność. Problem został rozwiązany w undici 6.29.1, 7.30.1 i 8.12.2, które wstrzymują analizowanie ramek protokołu WebSocket, gdy automatyczna odpowiedź PONG osiąga przeciwciśnienie w gnieździe i wznawiają po opróżnieniu, ograniczając kolejkę wychodzącą, a użytkownicy powinni dokonać aktualizacji do jednej z tych wersji lub nowszej. Nie ma żadnego rozwiązania.