CVE-2026-6733
Gravedad CVSS v3.1:
BAJA
Tipo:
No Disponible / Otro tipo
Fecha de publicación:
17/06/2026
Última modificación:
27/06/2026
Descripción
*** Pendiente de traducción *** Impact:<br />
Undici&#39;s HTTP/1.1 client is vulnerable to response queue poisoning on reused keep-alive sockets. An attacker-controlled upstream server can inject an unsolicited HTTP/1.1 response onto an idle socket after a request completes. When the client dispatches the next request on that socket, it associates the injected response with the new request, causing responses to be delivered to the wrong requests.<br />
<br />
This requires an attacker-controlled or compromised upstream HTTP/1.1 server and keep-alive connection reuse.<br />
<br />
Patches:<br />
Upgrade to undici v6.26.0, v7.28.0 or v8.5.0.<br />
<br />
Workarounds:<br />
Disable keep-alive connection reuse by setting keepAliveTimeout: 0 on the Client or Pool.
Impacto
Puntuación base 3.x
3.70
Gravedad 3.x
BAJA
Productos y versiones vulnerables
| CPE | Desde | Hasta |
|---|---|---|
| cpe:2.3:a:nodejs:undici:*:*:*:*:*:node.js:*:* | 6.27.0 (excluyendo) | |
| cpe:2.3:a:nodejs:undici:*:*:*:*:*:node.js:*:* | 7.0.0 (incluyendo) | 7.28.0 (excluyendo) |
| cpe:2.3:a:nodejs:undici:*:*:*:*:*:node.js:*:* | 8.0.0 (incluyendo) | 8.5.0 (excluyendo) |
Para consultar la lista completa de nombres de CPE con productos y versiones, ver esta página