Node.js用node-opcua-clientのプロトタイプ汚染の脆弱性

Node.js — CVE-2026-69200

自分のサイトが該当するか無料診断 → 原文を見る（NVD（米国脆弱性データベース））↗

どんな問題か

項目名の確認が不十分で、特殊な名前を通すと内部の共通設定を書き換えられる問題です。想定外の値が全体に広がることがあります。

放置するとどうなるか

アプリが誤動作したり、処理が止まったりするおそれがあります。場合によっては、設定の書き換えで思わぬ情報漏えいにつながります。

今すぐやること

2.145.0へ更新してください。更新までの間は、外部から来る項目名をそのまま渡さず、許可した名前だけを使うようにしてください。

自分のサイトが該当するかの確認手順

お使いのサーバー・プログラムに Node.js が使われているか、制作会社・保守会社・サーバー会社に確認します（管理画面やサーバーのバージョン表示でも分かります）。
バージョンが「2.145.0より前の版」に当てはまるか確認します。
当てはまる場合は、修正版へのアップデートを依頼します。レンタルサーバーの場合はサーバー会社側で対応済みのこともあるので、お知らせを確認してください。

原文（英語）を表示

node-opcua is an OPC UA implementation for TypeScript and Node.js. Prior to node-opcua-client 2.145.0, the internal fieldsToJson method in packages/node-opcua-client/source/alarms_and_conditions/client_alarm.ts directly assigns unsanitized field names and allows a __proto__.pollutedKey path to modify Object.prototype. Successful exploitation requires an application to expose attacker-controlled event fields to fieldsToJson and may cause denial of service or application logic corruption. This vulnerability is fixed in 2.145.0.

※ 解説は NVD（米国脆弱性データベース）の公表内容をもとにAIが生成しています。対象バージョン・修正版などの正確な情報は、必ず原文をご確認ください。