undici SRI 算法令牌大小写绕过漏洞

undici 的 fetch() 在查找 SRI 算法令牌时只匹配小写集合，导致 SHA256-...、Sha256-... 这类合法但非小写的令牌被当作未知算法跳过，响应完整性校验因此失效。据 GitHub 安全公告，攻击者只需控制响应体，无需控制应用的完整性元数据即可利用。 该缺陷由 7.15.0 引入，7.14.0 及更早版本会将令牌转为小写，不受影响。修复版本为 7.30.1 或 8.12.2；公告同时建议在 integrity 元数据中使用小写算法令牌（sha256、sha384、sha512）。

AI 根据报道生成 · 2 小时前更新

还没有足够的连续观测数据，暂不绘制趋势。