В Node.js Undici нашли отравление кеша и утечку данных между пользователями

Уязвимость CVE-2026-109829 (CVSS 7.4) в HTTP-клиенте Undici позволяет при порядке compose(redirect(), cache()) сохранять ответы чужих origin под ключом исходного запроса. Затронуты версии 7.0.0–7.30.0 и 8.0.0–8.12.1, исправления вышли в 7.30.1 и 8.12.2.

• CVSS 7.4, класс CWE-346 и CWE-524, есть PoC
• Уязвимы Undici 7.0.0–7.30.0 и 8.0.0–8.12.1
• Исправлено в 7.30.1 и 8.12.2
• Обходной путь — compose(cache(), redirect()) или приватный кеш