CVE-2026-116592 : contournement des règles de cache lors de redirections dans undici

Veille sécuritéBackend & données

P3Élevée

Plusieurs défauts d’`undici` publiés le 2026-11-06 affectent le cache de redirections, le traitement d’erreurs lors de la relecture du cache, la suppression d’en-têtes sensibles et la vérification SRI. Mettre à niveau vers `undici` 7.30.2 ou 8.12.4, selon la branche utilisée, ou une version ultérieure.

IdentifiantCVE-2026-116592

GravitéÉlevée

Exploitationnon connue / non déterminée

Correctif7.30.2 et 8.12.4

Source : NVD — CVE-2026-116592

Analyse technique

Lorsqu’une redirection traverse une origine non fiable avant de revenir à l’origine de confiance, la réponse peut être mise en cache sous la clé initiale; des règles Vary ou d’absence de cache d’un saut intermédiaire peuvent être ignorées. L’avis décrit un risque d’empoisonnement du cache ou de réutilisation d’une réponse privée.

Impact, versions et correctif

Événement datéLa fiche NVD indique une publication le 2026-11-06, dans la période demandée.

ImpactEmpoisonnement d’une entrée de cache ou exposition d’une réponse privée à un autre utilisateur.

Versions affectéesVoir les versions précisées dans chaque fiche CVE

Version corrigée7.30.2 et 8.12.4

ContournementPour CVE-2026-116592, composer les intercepteurs cache puis redirect, utiliser des répartiteurs et caches distincts par origine, ou désactiver le cache partagé pour les requêtes susceptibles d’être redirigées.

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS7.4

Publication2026-11-06T10:16:36.313Z

Mise à jour2026-11-06T20:38:53.570Z

Action recommandée

Mettre à niveau `undici` vers 7.30.2 ou 8.12.4, ou une version ultérieure.

Sources

NVD — CVE-2026-116592

Priorisation DFS : P3 · 1 source(s).