CRLF Injection in Nodejs ‘undici’ via host

TRUNG BÌNH 5.4CVE-2023-23936 · BIT-node-2023-23936 · BIT-node-min-2023-23936 · Công bố 16/02/2023 · cập nhật 17/06/2026

Tóm tắt nhanh

CVE-2023-23936 là lỗ hổng mức TRUNG BÌNH (CVSS 5.4) ảnh hưởng node.js (nodejs), undici (nodejs), undici.
Xác suất bị khai thác trong 30 ngày tới (EPSS): 1.1%, cao hơn 66.4% các lỗ hổng khác.
Cách xử lý: cập nhật lên 16.19.1, 18.14.1, 19.6.1, 5.19.1 hoặc mới hơn.

Gói / sản phẩm	Phiên bản bị ảnh hưởng	Phiên bản đã vá
node.js nodejs	`≥ 16.0.0, < 16.19.1≥ 18.0.0, < 18.14.1≥ 19.0.0, < 19.6.1`	`16.19.118.14.119.6.1`
undici nodejs	`≥ 2.0.0, < 5.19.1`	`5.19.1`
undici npm	`≥ 2.0.0, < 5.19.1`	`5.19.1`

Mô tả

Impact

undici library does not protect host HTTP header from CRLF injection vulnerabilities.

Patches

This issue was patched in Undici v5.19.1.

Workarounds

Sanitize the headers.host string before passing to undici.

References

Reported at https://hackerone.com/reports/1820955.

Credits

Thank you to Zhipeng Zhang (@timon8) for reporting this vulnerability.

Mô tả của NVD

Undici is an HTTP/1.1 client for Node.js. Starting with version 2.0.0 and prior to version 5.19.1, the undici library does not protect `host` HTTP header from CRLF injection vulnerabilities. This issue is patched in Undici v5.19.1. As a workaround, sanitize the `headers.host` string before passing to undici.