undici HTTP 클라이언트에서 캐시된 개인 응답이 다른 사용자에게 노출되는 문제
다른 사람의 개인 웹 응답이 캐시를 타고 새어 나갈 수 있습니다.
요약
undici는 Node.js용 HTTP 클라이언트입니다. 리다이렉트와 공유 캐시를 함께 쓰면 한 사용자의 개인 응답이 다른 사용자에게 보일 수 있고, 관련 결함도 함께 수정되었습니다.
해당 조건
- redirect 인터셉터와 공유 응답 캐시를 함께 사용
- undici 7.0.0~7.30.1 또는 8.0.0~8.12.3 (관련 결함에 따라 범위가 다름)
대처법
undici 7.30.2 또는 8.12.4 이상으로 업데이트하세요. 당장 못 하면 캐시 인터셉터를 리다이렉트 인터셉터보다 앞에 두거나, 리다이렉트 요청에서 공유 캐시를 끄세요.
내 제품에 맞는 버전 이상으로 업데이트하세요:
- undici 7.x 7.30.2 이상
- undici 8.x 8.12.4 이상
대상 제품과 운영체제
CVE 번호
원문 링크
시각
처음 게시
처음 확인