MoyenneCVE-2026-10993227 octobre 2026

Client WebSocket d'undici vulnérable à un déni de service via une mise en tampon automatique PONG illimitée

Exploitable dans des cas précis ou avec un impact limité : à corriger à la prochaine mise à jour.

Sévérité: Moyenne5.9 / 10
Publiée le: 27 octobre 2026
Mise à jour: 27 octobre 2026

L'avis

Traduction automatique de l'avis officiel. En cas de doute, l'avis d'origine, plus bas, fait foi.

Impact

Le client WebSocket d'undici (y compris le globalThis.WebSocket livré avec Node.js) peut être conduit à épuiser la mémoire du processus par un serveur WebSocket malveillant ou compromis. Pour chaque trame PING reçue, le récepteur écrit automatiquement une réponse PONG sur le socket et ignore la valeur de retour false de socket.write(), qui est un signal de pression arrière. Ainsi, un serveur qui diffuse de petites trames PING sans jamais lire les PONG du client fait grandir la file d'écriture sortante et le tas sans limite jusqu'à ce que le processus Node.js manque de mémoire et s'arrête. L'attaque est distale et non authentifiée, nécessite seulement une connexion WebSocket normale, et est asymétrique : de petits PING entrants produisent une file d'écriture sortante conservée beaucoup plus grande. La disponibilité est le seul impact. Les versions undici 5.x, 6.x, 7.x et 8.x sont affectées ; le client WebSocket a été introduit dans la version 5.15.0.

Patches

Mettre à jour vers 6.29.1, 7.30.1 ou 8.12.2, qui suspendent l'analyse des trames WebSocket lorsque la réponse PONG automatique rencontre la pression arrière du socket et reprennent lors du drainage, bornant ainsi la file d'écriture sortante.

Workarounds

Aucun.

Composants touchés

Composant	Versions touchées	Corrigé en
undiciJavaScript (npm)	`>= 5.15.0, < 6.29.1`	`6.29.1`
undiciJavaScript (npm)	`>= 7.0.0, < 7.30.1`	`7.30.1`
undiciJavaScript (npm)	`>= 8.0.0, < 8.12.2`	`8.12.2`

Vous utilisez une version touchée ? Passez à la version corrigée, puis redéployez.

undici WebSocket client vulnerable to Denial of Service via unbounded automatic PONG buffering

Impact

undici's WebSocket client (including Node.js's bundled globalThis.WebSocket) can be driven to exhaust process memory by a malicious or compromised WebSocket server. For every PING frame received, the receiver automatically writes a PONG response to the socket and ignores the false return value from socket.write(), which is a backpressure signal, so a server that streams small PING frames while never reading the client's PONGs makes the outbound write queue and heap grow without bound until the Node.js process runs out of memory and terminates. The attack is remote and unauthenticated, needs only a normal WebSocket connection, and is asymmetric: small inbound PINGs produce a much larger retained outbound queue. Availability is the only impact. undici 5.x, 6.x, 7.x, and 8.x are affected; the WebSocket client was introduced in 5.15.0.

Patches

Upgrade to 6.29.1, 7.30.1, or 8.12.2, which pause WebSocket frame parsing when the automatic PONG response hits socket backpressure and resume on drain, bounding the outbound queue.

Workarounds

None.

Catégorie : Uncontrolled Resource Consumption (CWE-400), Asymmetric Resource Consumption (Amplification) (CWE-405), Allocation of Resources Without Limits or Throttling (CWE-770)

Vecteur CVSS : CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:H