undici: cache interceptor vaza dados autenticados com diretivas padding
O interceptor de cache do Undici classifica incorretamente respostas como armazenáveis em cache quando Cache-Control usa nomes de campo qualificados private ou
O que mudou
O interceptor de cache do Undici classifica incorretamente respostas como armazenáveis em cache quando Cache-Control usa nomes de campo qualificados private ou no-cache com espaços à direita, podendo vazar dados autenticados em modo de cache compartilhado.
Quem isso afeta
Aplicações que habilitam explicitamente o interceptor de cache em modo compartilhado, encaminham cabeçalhos Authorization upstream e recebem respostas armazenáveis com diretivas private ou no-cache não canônicas.
O que fazer hoje
Atualize para undici v7.28.0 ou v8.5.0, ou desabilite o modo de cache compartilhado para tráfego com cabeçalhos Authorization, evite armazenar respostas autenticadas em cache ou adicione Vary: Authorization upstream.