CVE-2026-16729

mediumPriorität · verfolgen · 26EPSS 0.003 · 20. PerzentilDEEUUS

grimoire priorityP3 · Track

Exploitable?

—

no known exploitation

Likely / severe?

0.28% (20th) EPSS

CVSS 6.5 · medium

Is it mine?

14 products

Prüfe deine Angriffsfläche

Who says so?

5 sources

cnnvd · enisa_euvd · cert_bund · nvd

EPSS · bewertet 2026-10-27

undici's setCookie function does not fully sanitize cookie attributes. In undici before 6.28.0, from 7.0.0 up to before 7.29.0, and from 8.0.0 up to before 8.9.0, a domain value is not checked for semicolons and entries in the unparsed array are not sanitized, so attacker-influenced input can inject additional cookie attributes. For example, a domain value containing a semicolon can append attributes such as SameSite, and an unparsed entry can inject attributes such as HttpOnly, without the caller setting them. Applications that pass user-controlled input to these fields, such as multi-tenant or reverse-proxy servers that scope session cookies to a tenant-supplied domain, can have SameSite CSRF protections bypassed, or the Secure, HttpOnly, and SameSite attributes forced, stripped, or overridden. The issue is fixed in undici 6.28.0, 7.29.0, and 8.9.0.

cvss

Technischer Schweregrad, 0–10. Eine Zeile je Quelle.

6.5

010

Basiswert 0–10 · höher = schwerwiegender · Vektor überfahren zum Auflösen

v3.16.5mediumCVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:Nprimary · NVD / NIST USAusnutzbarkeit 3.9 · Auswirkung 2.5

v3.14.8mediumCVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:L/A:Nsecondary · ENISA EU

v3.14.8mediumCVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:L/A:NsecondaryAusnutzbarkeit 2.2 · Auswirkung 2.5

v3.14.8mediumCVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:L/A:Nsecondary · OSV

v3.16mediumCVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N/E:Usecondary · CVSS-BT (t0sche)

SSVC

Eine Handlungsentscheidung — aus Ausnutzung und Auswirkung.

Trackcoordinatorcisa_ssvcUS

schwächen

Die CWE-Schwächeklassen, zu denen dies gehört.

CWE-74USCWE-74US

betroffene Produkte (14)

Betroffene Produkte und Versionsbereiche.

IBM Business Automation Workflowalle Versionencert_bundDEcpe:/a:ibm:business_automation_workflow:-
IBM WebSphere Service Registry and Repositoryalle Versionencert_bundDEcpe:/a:ibm:websphere_service_registry_and_repository:-
Oracle Linuxalle Versionencert_bundDEcpe:/o:oracle:linux:-
IBM App Connect Enterprise< 12.0.12.30cert_bundDE
IBM App Connect Enterprise< 13.0.9.0cert_bundDE
undici undici0 → 6.28.0enisa_euvdEU
undici undici7.0.0 → 7.29.0enisa_euvdEU
undici undici8.0.0 → 8.9.0enisa_euvdEU
nodejs undici< 6.28.0nvdUScpe:2.3:a:nodejs:undici:*:*:*:*:*:*:*:*
nodejs undici7.0.0 → 7.29.0nvdUScpe:2.3:a:nodejs:undici:*:*:*:*:*:*:*:*
nodejs undici8.0.0 → 8.9.0nvdUScpe:2.3:a:nodejs:undici:*:*:*:*:*:*:*:*
npm undici< 6.28.0osvUSpkg:npm/undici
npm undici7.0.0 → 7.29.0osvUSpkg:npm/undici
npm undici8.0.0 → 8.9.0osvUSpkg:npm/undici

Advisories (3)

Hersteller- und Ökosystem-Meldungen dazu.

WID-SEC-W-2026-3596IBM App Connect Enterprise: Mehrere SchwachstellenDeutsch2026-09-27csaf · cert_bundDE
Ein Angreifer kann mehrere Schwachstellen in IBM App Connect Enterprise ausnutzen, um Sicherheitsvorkehrungen zu umgehen, um einen Denial of Service Angriff durchzuführen, um Informationen offenzulegen, um Dateien zu manipulieren und um einen Cross-Site Scripting Angriff durchzuführen.
WID-SEC-W-2026-3621IBM App Connect Enterprise: Mehrere SchwachstellenDeutsch2026-09-28csaf · cert_bundDE
Ein Angreifer kann mehrere Schwachstellen in IBM App Connect Enterprise ausnutzen, um Informationen offenzulegen, um einen Denial of Service Angriff durchzuführen, um Daten zu manipulieren und um Sicherheitsvorkehrungen zu umgehen.
GHSA-v3r7-h72x-cjcmundici vulnerable to cookie attribute injection via unsanitized domain and unparsed setCookie fields2026-08-03ghsa · osvUS
## Impact The `setCookie` function has two attribute injection paths. `validateCookieDomain` does not reject semicolons (`validateCookiePath` already does at 0x3B), so a `domain` value like `example.com; SameSite=None` lands verbatim as `Domain=example.com; SameSite=None`. The `unparsed` array's loop only checks each entry contains `=` and does not sanitize values, so an entry like `X-Custom=val; HttpOnly` lands unchanged, injecting `HttpOnly` without the caller setting `cookie.httpOnly = true`. Applications that pass user-controlled input to these fields, typically multi-tenant or reverse-proxy servers that scope session cookies to a tenant-supplied domain, can have SameSite CSRF protections bypassed, `Secure` or `HttpOnly` forced or stripped, or the intended SameSite tier overridden. ## Patches Patched in undici v6.28.0, v7.29.0, and v8.9.0. ## Workarounds - Sanitize `domain` values against the RFC 1034 letter-digit-hyphen set before passing to `setCookie`. - Do not pass user-controlled data to the `unparsed` field.

auch bekannt als (3)

Weitere Namen und Kennungen dieser Entität.

quellen

Welche Quellen diesen Datensatz belegen und wann.

cnnvd enisa_euvd cert_bund nvd osv NVD CVE.org MITRE

veröffentlicht 2026-07-29geändert 2026-08-05

Referenzen (6)

Externe Belege — Patches, Meldungen, Analysen.

scry

Angreifer nutzen Schwachstellen wie diese gegen im Internet exponierte Dienste aus. Sehen Sie mit einem kostenlosen Passiv-Scan, was exponiert ist.

Kostenloser Scan