В undici нашли обход проверки TLS-сертификатов

Уязвимость CVE-2026-109383 (CVSS 7.4) в HTTP-клиенте undici для Node.js: конструктор Agent клонирует опции через JSON, из-за чего колбэки вроде tls.checkServerIdentity отбрасываются. Это позволяет атакующему с доверенным сертификатом перехватывать трафик. Исправлено в undici 6.29.1, 7.30.1 и 8.12.2.

• CVE-2026-109383 получила оценку CVSS 7.4, есть POC
• Уязвимы undici 4.0.0–6.29.0, 7.0.0–7.30.0 и 8.0.0–8.12.1
• Исправления вышли в 6.29.1, 7.30.1 и 8.12.2
• Обходной путь — передавать колбэки через опцию connect