- Yama var
- Son 7 gün
- CWE-346
- CWE-524
CVE-2026-116592
undici HTTP istemcisinde yönlendirme zincirinde önbellek zehirlenmesi ve kullanıcılar arası veri sızıntısı
- Yayımlandı
- Güncellendi
- 6 Kas 2026
- Açık yaşı
- 0 gün
- Kaydı açan
- openjs
Yönetici özeti
Bu açık, kullanılan HTTP istemci kütüphanesinin yönlendirme yapılan isteklerde verileri yanlış yere önbelleğe almasına yol açar. Bu durum, kullanıcıya özel bilgilerin başka kişilere gösterilmesi ve sistem yanıtlarının bozulması riskini doğurur. Etkilenen sürümleri kullanan sistemlerin güncellenmesi acil bir öncelik taşımaktadır.
ÖzetTürkçe
undici, Node.js için bir HTTP istemcisidir. Etkilenen sürümlerde, originless Agent ile yönlendirme ve paylaşımlı önbellek interceptor'ları birlikte kullanıldığında, yanıtın hangi anahtar altında saklanacağına yalnızca son yönlendirme adımına bakılmaktadır. Bu durum daha önce CVE-2026-109829 için yapılan düzeltmeyi atlatmaktadır. Yalnızca Node.js uygulamalarında undici'yi bu yapılandırmada kullanan sistemler etkilenir.
Saldırgan ne yapabilir?
Saldırgan, güvenilir bir URL'den yönlendirme yapılan kendi kontrolündeki bir hedef üzerinden önbelleği zehirleyebilir veya kullanıcıya özel bir yanıtın başka bir kullanıcıya sunulmasına neden olabilir.
Kaynaktaki açıklama (İngilizce)
undici is an HTTP client for Node.js. In versions 7.30.1 and 8.12.2 through 8.12.3, when an originless Agent composes the redirect and shared cache interceptors, undici decides whether to store the final response under the original request key by inspecting only the final redirect hop, which bypasses the earlier fix for CVE-2026-109829 that compared only the initial and final origins. A redirect that bounces through an untrusted origin and returns to the trusted origin is still cached under the trusted key, an intermediate hop's Vary is dropped so a response that varies on Authorization or Cookie can be served to a different user, and an intermediate hop's no-cache or default-uncacheable status is ignored so a non-storable redirect is laundered into a cacheable entry. An attacker who controls a redirect target from a trusted URL can poison the cached entry for that URL or have a private, per-user response served to a later caller. The issue is fixed in undici 7.30.2 and 8.12.4, and users should upgrade to one of those versions or later. As a workaround, compose the interceptors as cache then redirect, use per-origin dispatchers and cache stores, or disable shared caching on redirect-capable requests.
Ne yapmalı?
- undici paketini 7.30.2 veya 8.12.4 ya da üzeri bir sürüme yükseltin. Üretici
- Yükseltme yapılamıyorsa, interceptor'ları önce önbellek, sonra yönlendirme olacak şekilde yeniden sıralayın. Genel öneri
- Yükseltme yapılamıyorsa, her origin için ayrı dispatcher ve önbellek deposu kullanın. Genel öneri
- Yükseltme yapılamıyorsa, yönlendirme yapabilen isteklerde paylaşımlı önbelleklemeyi devre dışı bırakın. Genel öneri
Ek önlemler
- Yükseltmeden sonra kullanılan undici sürümünü doğrulayın ve bağımlılık ağacındaki iç içe kurulumların da güncellendiğinden emin olun. Genel öneri
- Uygulamanın yönlendirme yapan isteklerinde beklenmeyen yanıt değişikliklerini veya kullanıcılar arası tutarsız içerikleri izleyin. Genel öneri
- Kullanıcıya özel kimlik doğrulama bilgisi içeren yanıtların paylaşımlı önbelleğe alınmadığını yapılandırma incelemesiyle kontrol edin. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| undici | ≥ 7.30.1, < 7.30.2 | 7.30.2 |
| 7.30.2 Etkilenmiyor | – | |
| ≥ 8.12.2, < 8.12.4 | 8.12.4 | |
| 8.12.4 Etkilenmiyor | – |
Kaynaklar4 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.