Une erreur levée par un gestionnaire de réponse depuis un rappel asynchrone du flux zlib peut échapper au traitement d’erreurs d’undici et faire terminer le processus Node.js. Un serveur HTTP malveillant peut déclencher le plantage avec une réponse compressée dont le contenu décompressé dépasse la limite configurée.
Source : NVD — CVE-2026-87029
Analyse technique
L’intercepteur decompress transmet les données décompressées au gestionnaire en aval depuis des rappels d’événements zlib. Les exceptions asynchrones, notamment celles du dump interceptor lorsque la taille maximale est dépassée, ne sont pas converties en échec isolé de la requête.
Impact, versions et correctif
Détection / vérification
Vérifier les versions d’undici et l’usage combiné de l’intercepteur decompress avec des gestionnaires de réponse susceptibles de lever une exception.
Action recommandée
Mettre à niveau undici vers la version 7.30.1 ou 8.12.2, ou une version ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).