Node.jsのAxiosにDoSの脆弱性

Node.js — CVE-2026-101901

自分のサイトが該当するか無料診断 → 原文を見る（NVD（米国脆弱性データベース））↗

どんな問題か

Node.jsで使われるAxiosに問題があり、HTTP/2通信中にエラー処理が足りない状態があります。特定の条件でエラーが未処理のまま外に出ると、Node.jsの処理が止まるおそれがあります。

放置するとどうなるか

サイトやAPIが突然停止し、注文受付や問い合わせ対応ができなくなる可能性があります。復旧までサービス停止が長引くこともあります。

今すぐやること

Axiosを1.20.0へ更新してください。自社開発で使っている場合は、保守会社に影響確認と更新対応をすぐ依頼してください。

自分のサイトが該当するかの確認手順

お使いのサーバー・プログラムに Node.js が使われているか、制作会社・保守会社・サーバー会社に確認します（管理画面やサーバーのバージョン表示でも分かります）。
バージョンが「1.13.0 until 1.20.0」に当てはまるか確認します。
当てはまる場合は、修正版へのアップデートを依頼します。レンタルサーバーの場合はサーバー会社側で対応済みのこともあるので、お知らせを確認してください。

原文（英語）を表示

Axios is a promise-based HTTP client for the browser and Node.js. From 1.13.0 until 1.20.0, Http2Sessions does not install adequate error handling for a ClientHttp2Session during Axios HTTP/2 session initialization or reuse. A request uses httpVersion: 2 and the ClientHttp2Session emits an error during session initialization or reuse. The unhandled session error escapes normal Promise rejection handling. The uncaught error can terminate the Node.js process and cause denial of service. This issue is fixed in version 1.20.0.

※ 解説は NVD（米国脆弱性データベース）の公表内容をもとにAIが生成しています。対象バージョン・修正版などの正確な情報は、必ず原文をご確認ください。