undici EventSource 解析器曝内存耗尽漏洞

GitHub 安全公告披露，undici 的 EventSource 客户端在连接不可信 Server-Sent Events 对端时存在无界内存问题，可被用于耗尽进程内存，造成拒绝服务（GHSA-4qv8-2p9j-2685）。攻击者只需控制响应，应用只要保持一条 EventSource 连接即可触发。 公告称，大量无空行分隔的 data 字段，或跨多个分块的单条未完成行，都会导致解析器保留的状态持续增长。修复版本为 6.29.1、7.30.1 和 8.12.2，这些版本对 data 字段数、缓冲分块数、未完成行长度及每字段字节总量设定了独立于字节上限的边界。公告同时说明没有可用的临时缓解措施。

AI 根据报道生成 · 2 小时前更新

还没有足够的连续观测数据，暂不绘制趋势。