CVE-2026-18540
CVE-2026-18540 · undici vulnerable to downstream response splitting via retry interceptor
Cette page présente des faits issus de sources publiques. Consultez l’avis original avant toute mise à jour.
undici's retry interceptor can append the body of a ranged retry response to bytes already delivered from an earlier partial response while still presenting the original response's status and headers. This happens when an upstream server delivers part of a body without a trustworthy resume checkpoint, for example a non-success response whose headers were already sent or a partial-content response with an unusable content range, then closes the connection and answers the resumed range request with more bytes. As a result the response body can be longer than the Content-Length that the application observes. An application that relays such a response to a downstream HTTP/1.1 peer without normalizing the framing can emit a body that exceeds the forwarded Content-Length, and the excess bytes can be interpreted as the start of a following response, which enables downstream response splitting or desynchronization. Exploitation requires an attacker-controlled upstream server and an application that forwards the response through a framing-sensitive path. This affects undici versions before 6.28.1, from 7.0.0 up to 7.29.1, and from 8.0.0 up to 8.10.2. Users should upgrade to undici 6.28.1, 7.29.1, or 8.10.2.
CVSS 3.7 · Faible · EPSS 0,3% · Correctif disponible
- Publication
- Mise à jour
Pile logicielle: system · node
Produits et versions concernés
undici
- Versions du logiciel
- ≥ 0, < 6.28.1: Concernée (semver)
- 6.28.1: Non concernée (semver)
- ≥ 7.0.0, < 7.29.1: Concernée (semver)
- 7.29.1: Non concernée (semver)
- ≥ 8.0.0, < 8.10.2: Concernée (semver)
- 8.10.2: Non concernée (semver)
Mettez à jour vers 6.28.1; Mettez à jour vers 7.29.1; Mettez à jour vers 8.10.2
node-undici Debian:12
- Versions du logiciel
- 5.15.0+dfsg1+~cs20.10.9.3-1
- 5.15.0+dfsg1+~cs20.10.9.3-1+deb12u1
- 5.15.0+dfsg1+~cs20.10.9.3-1+deb12u2
- 5.15.0+dfsg1+~cs20.10.9.3-1+deb12u3
- 5.15.0+dfsg1+~cs20.10.9.3-1+deb12u4
- 5.19.1+dfsg1+~cs20.10.9.5-1
- 5.19.1+dfsg1+~cs20.10.9.5-2
- 5.22.1+dfsg1+~cs20.10.10.2-1
- 5.26.3+dfsg1+~cs23.10.12-1
- 5.26.3+dfsg1+~cs23.10.12-2
- 5.26.3+dfsg1+~cs23.10.12-3
- 5.28.0+dfsg1+~cs23.11.12.3-1
- 5.28.0+dfsg1+~cs23.11.12.3-2
- 5.28.2+dfsg1+~cs23.11.12.3-1
- 5.28.2+dfsg1+~cs23.11.12.3-2
- 5.28.2+dfsg1+~cs23.11.12.3-3
- 5.28.2+dfsg1+~cs23.11.12.3-4
- 5.28.2+dfsg1+~cs23.11.12.3-5
- 5.28.2+dfsg1+~cs23.11.12.3-6
- 5.28.4+dfsg1+~cs23.12.11-1
- 5.28.4+dfsg1+~cs23.12.11-2
- 7.1.0+dfsg1+~cs24.12.10-1
- 7.15.0+dfsg+~cs3.2.0-1
- 7.15.0+dfsg+~cs3.2.0-3
- 7.16.0+dfsg+~cs3.2.0-1
- 7.16.0+dfsg+~cs3.2.0-2
- 7.18.2+dfsg+~cs3.2.0-1
- 7.2.3+dfsg1+~cs24.12.11-1
- 7.2.3+dfsg1+~cs24.12.11-2
- 7.24.5+dfsg+~cs3.2.0-1
- 7.24.6+dfsg+~cs3.2.0-1
- 7.24.6+dfsg+~cs3.2.0-2
- 7.24.6+dfsg+~cs3.2.0-3
- 7.3.0+dfsg1+~cs24.12.11-1
- 7.3.0+dfsg1+~cs24.12.11-2
- 8.10.2+dfsg+~cs3.2.2-1
- 8.5.0+dfsg+~cs3.2.0-1
- 8.5.0+dfsg+~cs3.2.0-2
- 8.5.0+dfsg+~cs3.2.0-3
- 8.9.0+dfsg+~cs3.2.0-1
- Plages de versions concernées
- ECOSYSTEM: (−∞, +∞)
Aucun correctif publié
node-undici Debian:13
- Versions du logiciel
- 7.15.0+dfsg+~cs3.2.0-1
- 7.15.0+dfsg+~cs3.2.0-3
- 7.16.0+dfsg+~cs3.2.0-1
- 7.16.0+dfsg+~cs3.2.0-2
- 7.18.2+dfsg+~cs3.2.0-1
- 7.24.5+dfsg+~cs3.2.0-1
- 7.24.6+dfsg+~cs3.2.0-1
- 7.24.6+dfsg+~cs3.2.0-2
- 7.24.6+dfsg+~cs3.2.0-3
- 7.3.0+dfsg1+~cs24.12.11-1
- 7.3.0+dfsg1+~cs24.12.11-2
- 8.10.2+dfsg+~cs3.2.2-1
- 8.5.0+dfsg+~cs3.2.0-1
- 8.5.0+dfsg+~cs3.2.0-2
- 8.5.0+dfsg+~cs3.2.0-3
- 8.9.0+dfsg+~cs3.2.0-1
- Plages de versions concernées
- ECOSYSTEM: (−∞, +∞)
Aucun correctif publié
node-undici Debian:14
- Versions du logiciel
- 7.15.0+dfsg+~cs3.2.0-1
- 7.15.0+dfsg+~cs3.2.0-3
- 7.16.0+dfsg+~cs3.2.0-1
- 7.16.0+dfsg+~cs3.2.0-2
- 7.18.2+dfsg+~cs3.2.0-1
- 7.24.5+dfsg+~cs3.2.0-1
- 7.24.6+dfsg+~cs3.2.0-1
- 7.24.6+dfsg+~cs3.2.0-2
- 7.24.6+dfsg+~cs3.2.0-3
- 7.3.0+dfsg1+~cs24.12.11-1
- 7.3.0+dfsg1+~cs24.12.11-2
- 8.5.0+dfsg+~cs3.2.0-1
- 8.5.0+dfsg+~cs3.2.0-2
- 8.5.0+dfsg+~cs3.2.0-3
- 8.9.0+dfsg+~cs3.2.0-1
- Plages de versions concernées
- ECOSYSTEM: < 8.10.2+dfsg+~cs3.2.2-1
Mettez à jour vers 8.10.2+dfsg+~cs3.2.2-1
undici npm
- Plages de versions concernées
- SEMVER: < 6.28.1
Mettez à jour vers 6.28.1
undici npm
- Plages de versions concernées
- SEMVER: ≥ 7.0.0, < 7.29.1
Mettez à jour vers 7.29.1
undici npm
- Plages de versions concernées
- SEMVER: ≥ 8.0.0, < 8.10.2
Mettez à jour vers 8.10.2
node-undici Ubuntu:24.04:LTS
- Versions du logiciel
- 5.22.1+dfsg1+~cs20.10.10.2-1ubuntu1
- 5.26.3+dfsg1+~cs23.10.12-2
- Plages de versions concernées
- ECOSYSTEM: (−∞, +∞)
Aucun correctif publié
node-undici Ubuntu:26.10
- Versions du logiciel
- 7.18.2+dfsg+~cs3.2.0-1build1
- 7.24.6+dfsg+~cs3.2.0-3
- 8.5.0+dfsg+~cs3.2.0-2
- 8.5.0+dfsg+~cs3.2.0-3
- 8.9.0+dfsg+~cs3.2.0-1
- Plages de versions concernées
- ECOSYSTEM: (−∞, +∞)
Aucun correctif publié
node-undici Ubuntu:26.04:LTS
- Versions du logiciel
- 7.3.0+dfsg1+~cs24.12.11-2
- 7.16.0+dfsg+~cs3.2.0-2
- 7.18.2+dfsg+~cs3.2.0-1
- 7.18.2+dfsg+~cs3.2.0-1build1
- Plages de versions concernées
- ECOSYSTEM: (−∞, +∞)
Aucun correctif publié