CVE-2026-120423
>_ Opis
Tłumaczenie automatyczne – może zawierać nieścisłości.
undici to klient HTTP dla Node.js. W wersjach od 7.15.0 do 7.30.1 i od 8.0.0 do 8.12.3 fetch weryfikuje metadane dotyczące integralności podzasobów, dzieląc ciąg integralności na pojedynczą spację, ale gramatyka SRI oddziela metadane białymi znakami ASCII, które obejmują również poziomą tabulator. Wartość integralności, której skrót jest poprzedzony tabulatorem lub innym białym znakiem ASCII, jest analizowana jako pojedynczy nierozpoznany token i pomijana, a gdy żaden rozpoznany algorytm nie pozostaje undici, traktuje listę integralności jako pustą i akceptuje odpowiedź, więc serwer zwracający treść inną niż przypięty skrót przechodzi kontrolę. Aplikacja, która przypina odpowiedź za pomocą prawidłowej, ale otoczonej białymi znakami wartości SRI, otrzymuje kontrolowane przez osobę atakującą bajty bez błędu integralności, a osoba atakująca musi jedynie kontrolować treść odpowiedzi, a nie metadane dotyczące integralności. Problem został rozwiązany w undici 7.30.2 i 8.12.4, a użytkownicy powinni dokonać aktualizacji do jednej z tych wersji lub nowszej. Aby obejść ten problem, podaj metadane dotyczące integralności SRI bez otaczających je białych znaków, używając pojedynczej spacji do oddzielenia wielu podsumowań.
>_ Słabości (CWE)
>_ Referencje
Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.
This product uses the NVD API but is not endorsed or certified by the NVD.
Copyright © 1999–2026, The MITRE Corporation. CVE is a registered trademark and the CVE logo is a registered trademark of The MITRE Corporation.
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.
NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org