CVE-2026-87029 Denegación de servicio en undici por excepción no capturada en el interceptor decompress

Qué es CVE-2026-87029

En undici 7.15.0 a 7.30.0 y 8.0.0 a 8.12.1, el interceptor decompress reenvía datos descomprimidos al handler desde callbacks de eventos de zlib sin capturar las excepciones que estos puedan lanzar. Un handler que lanza por diseño, como el interceptor dump cuando la respuesta supera su tamaño máximo, provoca una excepción no capturada que termina el proceso de Node.js. Un servidor HTTP malicioso o comprometido puede hacer caer al cliente devolviendo un cuerpo comprimido pequeño que se descomprime por encima del…

Productos y versiones afectadas

• undici

  • desde 7.15.0 hasta antes de 7.30.1
  • desde 8.0.0 hasta antes de 8.12.2

Qué hacer

1. Verificá si usás undici y en qué versión: el rango afectado figura arriba.
2. Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
3. Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Calculadora CVSS

CVSS 3.1 · 5.9 MEDIA

CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:H

VECTOR DE ATAQUE (AV)

Red

COMPLEJIDAD DEL ATAQUE (AC)

Alta

PRIVILEGIOS REQUERIDOS (PR)

Ninguno

INTERACCIÓN DEL USUARIO (UI)

Ninguna

ALCANCE (S)

Sin cambio

CONFIDENCIALIDAD (C)

Ninguna

INTEGRIDAD (I)

Ninguna

DISPONIBILIDAD (A)

Alta

Abrir la calculadora completa →

Descripción original

undici is an HTTP client library for Node.js. In versions 7.15.0 through 7.30.0 and 8.0.0 through 8.12.1, its decompress interceptor forwards decompressed response data to the downstream handler from zlib stream event callbacks without catching exceptions those callbacks may throw, and while undici's engine converts a synchronous throw from a downstream handler into a per-request failure, that protection is absent when the throw happens asynchronously from a zlib callback. As a result, a downstream handler that throws by design, such as the built-in dump interceptor which throws when a response exceeds its configured maximum size, escapes as an uncaught exception that terminates the Node.js process. A malicious or compromised HTTP server can crash any client that composes the decompress interceptor with such a handler by returning a small compressed body that decompresses to more than the configured limit, so only the decompressed size matters and the bytes on the wire stay tiny. The issue is fixed in undici 7.30.1 and 8.12.2, and users should upgrade to one of those versions or later. As a workaround, avoid composing the decompress interceptor with a response handler that throws during response processing until upgrading.

Referencias

• github.com/nodejs/undici/security/advisories/GHSA-55wc-3pg8-jfw6
• cna.openjsf.org/security-advisories.html

Historial de la alerta

1. 15 OCT · 17:28VULNERABILIDAD Nueva vulnerabilidad detectada.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.