Высокий

Опубликована

CVE-2026-13697

undici vulnerable to cross-user information disclosure and parse-time crash via degenerate private cache directives

Публикация: 29.07.2026·Обновлена: 10.09.2026, 06:51·Europe/Moscow

Что произошло

Автоперевод выключен · оригинальное описание

undici's cache interceptor mishandles malformed Cache-Control private directives. In undici 7.0.0 up to before 7.29.0 and 8.0.0 up to before 8.9.0, a response carrying a degenerate qualified private directive, such as private set to an empty value, can be stored in the default shared cache and later served to a different caller with the same cache key, disclosing private response bodies and headers including Set-Cookie. Separately, a Cache-Control header that combines an unqualified private directive with a qualified one triggers an uncaught TypeError in the cache-control parser, which rejects the request and, depending on the consumer's error handling, can terminate the process. Both issues affect applications using the cache interceptor in shared mode, including the default configuration. The issues are fixed in undici 7.29.0 and 8.9.0.

Что это значит

В источнике описана ошибка безопасности в перечисленных продуктах. Фактический риск зависит от установленной версии, конфигурации и доступности компонента; проверьте условия в первичном бюллетене.

Что делать

Редакционные пояснения, сведения источников и общие рекомендации помечены отдельно

Устранить в течение 7 дней

1. Проверьте, затронуты ли вы

Соберите инвентаризацию и сравните с таблицей затронутых версий. Эти команды только показывают установленные компоненты и сами по себе не доказывают наличие CVE.

Debian / Ubuntu

dpkg-query -W -f='${Package}	${Version}\n'

RHEL / AlmaLinux

rpm -qa --qf '%{NAME}\t%{VERSION}-%{RELEASE}\n'

Windows PowerShell

Get-HotFix | Select-Object HotFixID, InstalledOn

Общая рекомендация, не из бюллетеня вендора

2. Установите исправление

Сверьте точный продукт и версию с бюллетенем вендора. Установите указанное в нём исправление после резервного копирования и проверки совместимости. Подтверждённая целевая версия в источниках отсутствует.

Общая рекомендация, не из бюллетеня вендора

3. Временные меры

До проверки бюллетеня ограничьте доступ к затронутому компоненту доверенными узлами. Оцените сегментацию и отключение ненужных интерфейсов с владельцем сервиса; универсального правила WAF для этой CVE не подтверждено.

Общая рекомендация, не из бюллетеня вендора

4. Проверьте следы эксплуатации

Проверьте аномальные входы, новые учётные записи, ошибки и необычные дочерние процессы в затронутом сервисе. Публичные проверенные правила обнаружения не включены в запись; отсутствие сигналов не доказывает отсутствие компрометации.

Общая рекомендация, не из бюллетеня вендора

5. После исправления

Проверьте фактическую версию и результат установки по бюллетеню.
При необходимости перезапустите сервисы в согласованное окно.
Повторите проверку сканером и функциональные проверки.
Зафиксируйте результат, дату, владельца и оставшийся риск.

Продукты и затронутые версии

undici / undici

{
  "status": "affected",
  "version": "7.0.0",
  "lessThan": "7.29.0",
  "versionType": "semver"
}

{
  "status": "unaffected",
  "version": "7.29.0",
  "versionType": "semver"
}

{
  "status": "affected",
  "version": "8.0.0",
  "lessThan": "8.9.0",
  "versionType": "semver"
}

{
  "status": "unaffected",
  "version": "8.9.0",
  "versionType": "semver"
}

undici npm

{
  "status": "affected",
  "version": "*",
  "versionEndExcluding": "7.29.0",
  "versionStartIncluding": "7.0.0"
}

undici npm

{
  "status": "affected",
  "version": "*",
  "versionEndExcluding": "8.9.0",
  "versionStartIncluding": "8.0.0"
}

CVSS: оценки и векторы

CVSS 3.1 · cve7.4

CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:H

AV · Вектор атакисеть

AC · Сложность атакивысокая

PR · Привилегиине нужны

UI · Участие пользователяне нужно

S · Область воздействияне меняется

C · Конфиденциальностьвысокое

I · Целостностьнет

A · Доступностьвысокое

Классы CWE

CWE-200 · Раскрытие конфиденциальной информации CWE-248 · Непойманное исключение CWE-525 · Использование кэша веб-браузера, содержащего конфиденциальную информацию

Источники и ссылки

Материал · github.com · cve Материал · cna.openjsf.org · cve Материал · nvd.nist.gov · osv Материал · github.com · osv Материал · github.com · osv Материал · github.com · osv Материал · github.com · osv CVE Program · www.cve.org · CVE Program NVD · nvd.nist.gov · NVD

Происхождение полей

{
  "cwes": [
    "cve"
  ],
  "epss": {
    "source": "epss",
    "received_at": "2026-11-03T21:12:12.065433+00:00"
  },
  "title": {
    "source": "cve",
    "received_at": "2026-10-28T20:47:49.465836+00:00"
  },
  "scores": [
    "cve"
  ],
  "status": {
    "source": "cve",
    "received_at": "2026-10-28T20:47:49.465836+00:00"
  },
  "affected": [
    "cve",
    "osv"
  ],
  "published": {
    "source": "cve",
    "received_at": "2026-10-28T20:47:49.465836+00:00"
  },
  "solutions": [],
  "percentile": {
    "source": "epss",
    "received_at": "2026-11-03T21:12:12.065433+00:00"
  },
  "references": [
    "cve",
    "osv"
  ],
  "description": {
    "source": "cve",
    "received_at": "2026-10-28T20:47:49.465836+00:00"
  },
  "workarounds": [],
  "configurations": []
}

Хронология записи

Данные обновлены04.11.2026, 00:12
Данные обновлены03.11.2026, 00:11
Данные обновлены02.11.2026, 15:13
Данные обновлены02.11.2026, 00:10
Данные обновлены31.10.2026, 11:57
Данные обновлены30.10.2026, 17:47
Данные обновлены29.10.2026, 11:29
Опубликована28.10.2026, 23:47

Личная заметка и статус

Другие CVE того же продукта

УЯЗВИМОСТЬ / ПРОДУКТ	ПРИОРИТЕТ	CVSS	EPSS	СИГНАЛЫ	ОПУБЛИКОВАНА
CVE-2026-12151 undici WebSocket client vulnerable to denial of service via fragment count bypass undici / undici · Red Hat / Cryostat 4 on RHEL 9	Высокий	7.5	0,79 %	Патч	17.06.2026
CVE-2026-109383 undici vulnerable to TLS certificate validation bypass via dropped tls options in Agent undici / undici · undici	Высокий	7.4	0,18 %	Патч	15.10.2026
CVE-2026-109829 undici vulnerable to cache poisoning and cross-user disclosure via cross-origin redirects undici / undici · undici	Высокий	7.4	0,15 %	Патч	15.10.2026
CVE-2026-87018 undici vulnerable to Denial of Service via TLS 1.2 certificate-changing renegotiation undici / undici · undici	Высокий	7.5	0,19 %	Патч	15.10.2026
CVE-2026-109932 undici WebSocket client vulnerable to Denial of Service via unbounded automatic PONG buffering undici / undici · undici	Средний	5.9	0,32 %	Патч	15.10.2026