В undici для Node.js нашли DoS через осиротевший поток

Уязвимость CVE-2026-109869 (CVSS 7.5) в undici — HTTP-клиенте и реализации fetch для Node.js — позволяет удалённому серверу уронить процесс. Ответ с более чем пятью заголовками Content-Encoding и преждевременным закрытием соединения оставляет внутренний Readable-поток без обработчика ошибок. Исправлено в версиях 6.29.1, 7.30.1 и 8.12.2.

• CVSS 7.5: необработанная ошибка потока завершает процесс Node.js
• Атака: ответ с более чем 5 заголовками Content-Encoding и обрыв соединения
• Затронуты undici 6.23.0–6.29.0, 7.18.0–7.30.0 и 8.0.0–8.12.1
• Патчи вышли в 6.29.1, 7.30.1 и 8.12.2, есть PoC