CVE-2026-116630
>_ Opis
Tłumaczenie automatyczne – może zawierać nieścisłości.
undici to klient HTTP dla Node.js. W wersjach od 7.0.0 do 7.30.1 i od 8.0.0 do 8.12.3, gdy Agent tworzy przechwytywacze przekierowań i współdzielonej pamięci podręcznej, odpowiedź w pamięci podręcznej, która jest ponownie sprawdzana za pomocą żądania warunkowego, może zostać sprawdzona za pomocą komunikatu 304 Not Modified z innego źródła. Gdy źródło, które przechowuje odpowiedź, przekierowuje żądanie ponownej weryfikacji warunkowej do innego źródła, procedura obsługi przekierowania usuwa nagłówki poświadczeń powiązane z źródłem, ale nie wygenerowane w pamięci podręcznej walidatory If-None-Match lub If-Modified-Since, więc miejsce docelowe przekierowania otrzymuje moduł sprawdzania poprawności pierwotnego źródła, a undici traktuje jego 304 jako pomyślną ponowną weryfikację przechowywanej reprezentacji. W rezultacie współdzielona pamięć podręczna może udostępniać przechowywaną uwierzytelnioną odpowiedź pierwotnego źródła, w tym odpowiedź bramkowaną przez autoryzację, późniejszemu nieuwierzytelnionemu obiektowi wywołującemu. Problem został rozwiązany w undici 7.30.2 i 8.12.4, a użytkownicy powinni dokonać aktualizacji do jednej z tych wersji lub nowszej. Aby obejść ten problem, utwórz przechwytywacze jako pamięć podręczną, a następnie przekieruj, użyj programów rozsyłających według źródła i magazynów pamięci podręcznej lub wyłącz współdzielone buforowanie w przypadku żądań obsługujących przekierowania.
>_ Słabości (CWE)
>_ Referencje
Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.
This product uses the NVD API but is not endorsed or certified by the NVD.
Copyright © 1999–2026, The MITRE Corporation. CVE is a registered trademark and the CVE logo is a registered trademark of The MITRE Corporation.
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.
NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org