undici vulnerable to cross-origin cache poisoning via missing origin isolation in interceptors
Impact
When interceptors.cache() or interceptors.deduplicate() is used with a dispatcher that does not carry a single authoritative origin, or when a request supplies its own origin, undici builds the cache and deduplication keys without the actual destination origin. If a cache store or interceptor instance is shared across more than one origin, otherwise-identical requests to different origins are keyed together.
An attacker who controls the response from one origin can then have that response returned for a request to a different, trusted origin when the method, path, and relevant headers match. This allows cross-origin information disclosure and persistent cache poisoning, including chains such as JWKS cache poisoning where a token signed with an attacker-held key is accepted as belonging to a trusted issuer.
Applications that share interceptors.cache() or interceptors.deduplicate() state across origins are affected. An Agent is not affected, because its dispatch options include the request origin.
This was introduced in undici 8.10.0 and affects 8.10.0 and 8.10.1.
Patches
Upgrade to undici v8.10.2.
Workarounds
Use a separate cache store and a separate interceptor instance for each origin, and do not share them across origins.
Betroffene Software
Klicken Sie auf eine Technologie, um alle zugehörigen Schwachstellen anzuzeigen.
| Plattform | Paket | Anfällige Versionen | Behoben in |
|---|---|---|---|
| npm-Paket | undici | >= 8.10.0, < 8.10.2 | 8.10.2 |
Verweise
- https://github.com/nodejs/undici/security/advisories/GHSA-vp8m-p9jh-q5pm
- https://nvd.nist.gov/vuln/detail/CVE-2026-85152
- https://github.com/nodejs/undici/commit/caf6194d3dae989b731ed87ab85f182befe5eb80
- https://cna.openjsf.org/security-advisories.html
- https://github.com/nodejs/undici
- https://github.com/nodejs/undici/releases/tag/v8.10.2
- CVSS-Vektor
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:N- Schwäche (CWE)
CWE-346- Plattform
- npm
- Paket
undici- Veröffentlicht
- 29.09.2026
- Aktualisiert
- 11.10.2026 10:22
Quellen und Lizenzen
OSV / GitHub Advisory Database - GHSA-vp8m-p9jh-q5pm - CC BY 4.0
Schwachstellenhistorie: undici
Alle veröffentlichten Schwachstellen dieses Pakets (npm-Paket), neueste zuerst. Zeigt, ob es ein einmaliger Ausrutscher ist oder ein Paket, das man im Auge behalten muss.
- Einträge insgesamt
- 46
- Erste → letzte
- 06.2022 09.2026
- Ohne Fix
- 0
- In Angriffen ausgenutzt
- 0
Verteilung nach Schweregrad
- Hoch 13
- Mittel 21
- Niedrig 12
Veröffentlichungen pro Jahr
- 2022: 5
- 2023: 3
- 2024: 5
- 2025: 2
- 2026: 31
-
undici vulnerable to cross-origin cache poisoning via missing origin isolation in interceptors dieser Eintrag
Erkennen Sie Schwachstellen in Ihrer Anwendung
Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.