vi
undici là một dự án phần mềm nguồn mở toàn cầu trong hệ sinh thái Node.js. Dự án phát triển máy khách HTTP/1.1 hiệu năng cao cho Node.js, hỗ trợ sử dụng trực tiếp dưới dạng mô-đun và cung cấp nền tảng cho một số khả năng mạng theo chuẩn web của Node.js. Người dùng gồm các nhà phát triển và duy trì ứng dụng Node.js trên toàn thế giới.
Tính đến 14/09/2026, undici ghi nhận 24 lỗ hổng bảo mật trong 90 ngày gần nhất, trải trên 1 sản phẩm, trong đó 8 lỗ hổng ở mức Cao trở lên và 0 lỗ hổng đang bị khai thác tích cực (KEV), cần ưu tiên vá ngay.
Trong 90 ngày gần nhất, undici là sản phẩm có nhiều lỗ hổng bảo mật nhất trong hệ sinh thái undici, với 24 lỗ hổng, chiếm khoảng 100% tổng số lỗ hổng toàn hãng trong giai đoạn này.
| Lỗ hổng | Tình trạng khai thác | Bản vá | Sản phẩm bị ảnh hưởng | Ngày phát hành | Mức độ nghiêm trọng |
|---|---|---|---|---|---|
CVE-2026-18149undici vulnerable to Denial of Service via orphaned RetryHandler response body | Tình trạng khai thácChưa ghi nhận bị khai thác | Bản váCó | Sản phẩm bị ảnh hưởngundici | Ngày phát hành04/09/2026 | Mức độ nghiêm trọngTrung bình |
CVE-2026-18540undici vulnerable to downstream response splitting via retry interceptor | Tình trạng khai thácChưa ghi nhận bị khai thác | Bản váCó | Sản phẩm bị ảnh hưởngundici | Ngày phát hành04/09/2026 | Mức độ nghiêm trọngThấp |
CVE-2026-19534undici vulnerable to Denial of Service via unrequested WebSocket subprotocol | Tình trạng khai thácChưa ghi nhận bị khai thác | Bản váCó | Sản phẩm bị ảnh hưởngundici | Ngày phát hành04/09/2026 | Mức độ nghiêm trọngCao |
CVE-2026-84890undici vulnerable to Denial of Service via unbounded decompression of compressed responses | Tình trạng khai thácChưa ghi nhận bị khai thác | Bản váCó | Sản phẩm bị ảnh hưởngundici | Ngày phát hành04/09/2026 | Mức độ nghiêm trọngTrung bình |
CVE-2026-84933undici vulnerable to cross-user cookie disclosure via Set-Cookie caching in shared caches | Tình trạng khai thácChưa ghi nhận bị khai thác | Bản váCó | Sản phẩm bị ảnh hưởngundici | Ngày phát hành04/09/2026 | Mức độ nghiêm trọngTrung bình |
CVE-2026-84947undici vulnerable to response truncation via oversized chunked responses in the dump interceptor | Tình trạng khai thácChưa ghi nhận bị khai thác | Bản váCó | Sản phẩm bị ảnh hưởngundici | Ngày phát hành04/09/2026 | Mức độ nghiêm trọngThấp |
CVE-2026-84961undici vulnerable to TLS certificate validation bypass via dropped connect options in BalancedPool | Tình trạng khai thácChưa ghi nhận bị khai thác | Bản váCó | Sản phẩm bị ảnh hưởngundici | Ngày phát hành04/09/2026 | Mức độ nghiêm trọngCao |
CVE-2026-85008undici vulnerable to caching and replay of unsafe HTTP method responses | Tình trạng khai thácChưa ghi nhận bị khai thác | Bản váCó | Sản phẩm bị ảnh hưởngundici | Ngày phát hành04/09/2026 | Mức độ nghiêm trọngThấp |
CVE-2026-85152undici vulnerable to cross-origin cache poisoning via missing origin isolation in interceptors | Tình trạng khai thácChưa ghi nhận bị khai thác | Bản váCó | Sản phẩm bị ảnh hưởngundici | Ngày phát hành04/09/2026 | Mức độ nghiêm trọngCao |
CVE-2026-85014undici vulnerable to Denial of Service via WebSocketStream unclean close | Tình trạng khai thácChưa ghi nhận bị khai thác | Bản váCó | Sản phẩm bị ảnh hưởngundici | Ngày phát hành04/09/2026 | Mức độ nghiêm trọngTrung bình |
CVE-2026-85024undici vulnerable to Denial of Service via unhandled error in WebSocket permessage-deflate decompression | Tình trạng khai thácChưa ghi nhận bị khai thác | Bản váCó | Sản phẩm bị ảnh hưởngundici | Ngày phát hành04/09/2026 | Mức độ nghiêm trọngTrung bình |
CVE-2026-15157undici vulnerable to CRLF Injection via blob-like body 'type' property | Tình trạng khai thácChưa ghi nhận bị khai thác | Bản váCó | Sản phẩm bị ảnh hưởngundici | Ngày phát hành29/07/2026 | Mức độ nghiêm trọngTrung bình |
CVE-2026-14643undici vulnerable to cross-user information disclosure via whitespace around equals in Cache-Control directives | Tình trạng khai thácChưa ghi nhận bị khai thác | Bản váCó | Sản phẩm bị ảnh hưởngundici | Ngày phát hành29/07/2026 | Mức độ nghiêm trọngTrung bình |
CVE-2026-16728undici vulnerable to downstream response desynchronization via retry interceptor | Tình trạng khai thácChưa ghi nhận bị khai thác | Bản váCó | Sản phẩm bị ảnh hưởngundici | Ngày phát hành29/07/2026 | Mức độ nghiêm trọngTrung bình |
CVE-2026-16729undici vulnerable to cookie attribute injection via unsanitized domain and unparsed setCookie fields | Tình trạng khai thácChưa ghi nhận bị khai thác | Bản váCó | Sản phẩm bị ảnh hưởngundici | Ngày phát hành29/07/2026 | Mức độ nghiêm trọngTrung bình |
CVE-2026-13697undici vulnerable to cross-user information disclosure and parse-time crash via degenerate private cache directives | Tình trạng khai thácChưa ghi nhận bị khai thác | Bản váCó | Sản phẩm bị ảnh hưởngundici | Ngày phát hành29/07/2026 | Mức độ nghiêm trọngCao |
CVE-2026-11525undici vulnerable to Set-Cookie SameSite attribute downgrade via permissive substring matching | Tình trạng khai thácChưa ghi nhận bị khai thác | Bản váCó | Sản phẩm bị ảnh hưởngundici | Ngày phát hành17/06/2026 | Mức độ nghiêm trọngThấp |
CVE-2026-6733undici vulnerable to HTTP response queue poisoning via keep-alive socket reuse | Tình trạng khai thácChưa ghi nhận bị khai thác | Bản váCó | Sản phẩm bị ảnh hưởngundici | Ngày phát hành17/06/2026 | Mức độ nghiêm trọngThấp |
CVE-2026-9678undici vulnerable to cross-user information disclosure via shared cache whitespace bypass | Tình trạng khai thácChưa ghi nhận bị khai thác | Bản váCó | Sản phẩm bị ảnh hưởngundici | Ngày phát hành17/06/2026 | Mức độ nghiêm trọngTrung bình |
CVE-2026-9679undici vulnerable to HTTP header injection via Set-Cookie percent-decoding | Tình trạng khai thácChưa ghi nhận bị khai thác | Bản váCó | Sản phẩm bị ảnh hưởngundici | Ngày phát hành17/06/2026 | Mức độ nghiêm trọngTrung bình |
CVE-2026-9697undici vulnerable to TLS certificate validation bypass via dropped requestTls in SOCKS5 ProxyAgent | Tình trạng khai thácChưa ghi nhận bị khai thác | Bản váCó | Sản phẩm bị ảnh hưởngundici | Ngày phát hành17/06/2026 | Mức độ nghiêm trọngCao |
CVE-2026-6734undici vulnerable to cross-origin request routing via SOCKS5 proxy pool reuse | Tình trạng khai thácChưa ghi nhận bị khai thác | Bản váCó | Sản phẩm bị ảnh hưởngundici | Ngày phát hành17/06/2026 | Mức độ nghiêm trọngCao |
CVE-2026-9675undici WebSocket client vulnerable to denial of service via cumulative fragment bypass | Tình trạng khai thácChưa ghi nhận bị khai thác | Bản váCó | Sản phẩm bị ảnh hưởngundici | Ngày phát hành17/06/2026 | Mức độ nghiêm trọngCao |
CVE-2026-12151undici WebSocket client vulnerable to denial of service via fragment count bypass | Tình trạng khai thácChưa ghi nhận bị khai thác | Bản váCó | Sản phẩm bị ảnh hưởngundici | Ngày phát hành17/06/2026 | Mức độ nghiêm trọngCao |
CVE-2026-2229undici is vulnerable to Unhandled Exception in undici WebSocket Client Due to Invalid server_max_window_bits Validation | Tình trạng khai thácChưa ghi nhận bị khai thác | Bản váChưa xác nhận | Sản phẩm bị ảnh hưởngundici | Ngày phát hành12/03/2026 | Mức độ nghiêm trọngCao |
CVE-2026-1528undici is vulnerable to Malicious WebSocket 64-bit length overflows undici parser and crashes the client | Tình trạng khai thácChưa ghi nhận bị khai thác | Bản váCó | Sản phẩm bị ảnh hưởngundici | Ngày phát hành12/03/2026 | Mức độ nghiêm trọngCao |
CVE-2026-1527undici is vulnerable to CRLF Injection via upgrade option | Tình trạng khai thácChưa ghi nhận bị khai thác | Bản váChưa xác nhận | Sản phẩm bị ảnh hưởngundici | Ngày phát hành12/03/2026 | Mức độ nghiêm trọngTrung bình |
CVE-2026-2581undici is vulnerable to Unbounded Memory Consumption in in Undici's DeduplicationHandler via Response Buffering leads to DoS | Tình trạng khai thácChưa ghi nhận bị khai thác | Bản váCó | Sản phẩm bị ảnh hưởngundici | Ngày phát hành12/03/2026 | Mức độ nghiêm trọngTrung bình |
CVE-2026-1526undici is vulnerable to Unbounded Memory Consumption in undici WebSocket permessage-deflate Decompression | Tình trạng khai thácChưa ghi nhận bị khai thác | Bản váChưa xác nhận | Sản phẩm bị ảnh hưởngundici | Ngày phát hành12/03/2026 | Mức độ nghiêm trọngCao |
CVE-2026-1525undici is vulnerable to Inconsistent Interpretation of HTTP Requests ('HTTP Request/Response Smuggling') | Tình trạng khai thácKhai thác công khai | Bản váChưa xác nhận | Sản phẩm bị ảnh hưởngundici | Ngày phát hành12/03/2026 | Mức độ nghiêm trọngTrung bình |
Giải pháp CyStack VulnScan liên tục phát hiện tài sản, xác minh lỗ hổng và giúp đội ngũ bảo mật ưu tiên khắc phục cho toàn bộ doanh nghiệp.
Khám phá CyStack VulnScan
