CVE-2026-109855
CVE-2026-109855 · undici WebSocket client vulnerable to Denial of Service via failed HTTP/2 handshake
Cette page présente des faits issus de sources publiques. Consultez l’avis original avant toute mise à jour.
undici is an HTTP client library for Node.js. In versions 8.11.0 and 8.11.1, its experimental WebSocket client, which is enabled by default when HTTP/2 is allowed, mishandles a failed WebSocket handshake over HTTP/2: the request is already marked completed, so the abort becomes a no-op and the underlying HTTP/2 stream is left open with no error listener. When a malicious server then destroys the connection, the orphaned stream emits an unhandled error and the Node.js process exits. A remote, unauthenticated server can therefore crash any client that opens a WebSocket to it over HTTP/2, resulting in a denial of service. The issue is fixed in undici 8.11.2, and users should upgrade to 8.11.2 or later. As a workaround, set allowH2 to false to disable HTTP/2 for WebSocket connections, or avoid opening WebSocket connections to untrusted servers.
CVSS 7.5 · Élevée · EPSS 0,3% · Correctif disponible
- Publication
- Mise à jour
Pile logicielle: system · node
Produits et versions concernés
undici
- Versions du logiciel
- ≥ 8.11.0, < 8.11.2: Concernée (semver)
- 8.11.2: Non concernée (semver)
Mettez à jour vers 8.11.2
node-undici Debian:14
- Versions du logiciel
- 7.15.0+dfsg+~cs3.2.0-1
- 7.15.0+dfsg+~cs3.2.0-3
- 7.16.0+dfsg+~cs3.2.0-1
- 7.16.0+dfsg+~cs3.2.0-2
- 7.18.2+dfsg+~cs3.2.0-1
- 7.24.5+dfsg+~cs3.2.0-1
- 7.24.6+dfsg+~cs3.2.0-1
- 7.24.6+dfsg+~cs3.2.0-2
- 7.24.6+dfsg+~cs3.2.0-3
- 7.3.0+dfsg1+~cs24.12.11-1
- 7.3.0+dfsg1+~cs24.12.11-2
- 8.10.2+dfsg+~cs3.2.2-1
- 8.12.1+dfsg+~cs3.2.3-1
- 8.12.2+dfsg+~cs3.2.3-1
- 8.12.2+dfsg+~cs3.2.3-2
- 8.5.0+dfsg+~cs3.2.0-1
- 8.5.0+dfsg+~cs3.2.0-2
- 8.5.0+dfsg+~cs3.2.0-3
- 8.9.0+dfsg+~cs3.2.0-1
- Plages de versions concernées
- ECOSYSTEM: (−∞, +∞)
Aucun correctif publié
undici npm
- Plages de versions concernées
- SEMVER: ≥ 8.11.0, < 8.11.2
Mettez à jour vers 8.11.2
node-undici Ubuntu:24.04:LTS
- Versions du logiciel
- 5.22.1+dfsg1+~cs20.10.10.2-1ubuntu1
- 5.26.3+dfsg1+~cs23.10.12-2
- Plages de versions concernées
- ECOSYSTEM: (−∞, +∞)
Aucun correctif publié
node-undici Ubuntu:26.10
- Versions du logiciel
- 7.18.2+dfsg+~cs3.2.0-1build1
- 7.24.6+dfsg+~cs3.2.0-3
- 8.5.0+dfsg+~cs3.2.0-2
- 8.5.0+dfsg+~cs3.2.0-3
- 8.9.0+dfsg+~cs3.2.0-1
- Plages de versions concernées
- ECOSYSTEM: (−∞, +∞)
Aucun correctif publié
node-undici Ubuntu:26.04:LTS
- Versions du logiciel
- 7.3.0+dfsg1+~cs24.12.11-2
- 7.16.0+dfsg+~cs3.2.0-2
- 7.18.2+dfsg+~cs3.2.0-1
- 7.18.2+dfsg+~cs3.2.0-1build1
- Plages de versions concernées
- ECOSYSTEM: (−∞, +∞)
Aucun correctif publié