Undici's fetch with integrity option is too lax when algorithm is specified but hash value is in incorrect

THẤP 3.5CVE-2024-30261 · GHSA-9qxr-qj54-h672 · Công bố 04/04/2024 · cập nhật 17/06/2026

Tóm tắt nhanh

CVE-2024-30261 là lỗ hổng mức THẤP (CVSS 3.5) ảnh hưởng undici (nodejs), undici.
Xác suất bị khai thác trong 30 ngày tới (EPSS): 0.80%, cao hơn 56.7% các lỗ hổng khác.
Cách xử lý: cập nhật lên 6.11.1, 5.28.4 hoặc mới hơn.

Gói / sản phẩm	Phiên bản bị ảnh hưởng	Phiên bản đã vá
undici nodejs	`≥ 6.0.0, < 6.11.1< 5.28.4`	`6.11.15.28.4`
undici npm	`≥ 6.0.0, < 6.11.1< 5.28.4`	`6.11.15.28.4`

Mô tả

Impact

If an attacker can alter the integrity option passed to fetch(), they can let fetch() accept requests as valid even if they have been tampered.

Patches

Fixed in https://github.com/nodejs/undici/commit/d542b8cd39ec1ba303f038ea26098c3f355974f3. Fixes has been released in v5.28.4 and v6.11.1.

Workarounds

Ensure that integrity cannot be tampered with.

References

https://hackerone.com/reports/2377760

Mô tả của NVD

Undici is an HTTP/1.1 client, written from scratch for Node.js. An attacker can alter the `integrity` option passed to `fetch()`, allowing `fetch()` to accept requests as valid even if they have been tampered. This vulnerability was patched in version(s) 5.28.4 and 6.11.1.