В Node.js undici нашли DoS через TLS 1.2-пересогласование

Уязвимость CVE-2026-87018 (CVSS 7.5) в undici — HTTP-клиенте Node.js, на котором работает глобальный fetch(), — позволяет удалённому TLS 1.2-серверу уронить процесс Node.js. Атака использует пересогласование после рукопожатия с сертификатом с несовпадающим SAN, что вызывает необработанный AssertionError. Исправлено в undici 6.29.1, 7.30.1 и 8.12.2.

• CVSS 7.5, тип CWE-617/CWE-248, есть PoC-регрессионный тест
• Уязвимы undici 4.2.1–6.29.0, 7.0.0–7.30.0 и 8.0.0–8.12.1
• Патчи вышли в ветках 6.29.1, 7.30.1 и 8.12.2
• Защита: обновление undici или принудительный TLS 1.3