言語・フレームワークの脆弱性情報

Node.js — CVE-2026-116693

Node.js向けのdd-traceで、細工したURLにより処理が重くなる問題です。アクセスを受けるたびにCPUを使いすぎて、動作が遅くなったり止まったりするおそれがあります。

dd-traceを5.131.1または6.20.1以降に更新してください。更新までの間は、外部からの不審なURLア...

Node.js — CVE-2026-116576

Node.js向けのライブラリで、外部から渡されたサービス名の扱いに問題があります。Windows環境では、特定の文字を使うと本来想定しない命令が実行されるおそれがあります。

5.33.16 へ更新してください。自社のアプリがこのライブラリに入力を渡していないか、制作会社・...

Node.js — CVE-2026-115930

mongosh が使う Node.js に、信頼する証明書の保存内容に問題があります。古い内容が残っているため、正しくない証明書を信頼してしまうおそれがあります。

mongosh を 2.14.0 へ更新してください。npm で入れている場合は、ホスト側の Node.js も別途更...

Node.js — CVE-2026-105482

文字列の中にNUL文字（見えない区切り文字）が入ると、DNSの確認が途中で切れてしまう問題があります。別の名前として扱われるはずの相手を、そのまま調べてしまいます。

Node.js 26.x、24.x、22.x の修正版へ更新してください。ドメインの許可リストで確認してから名...

Node.js — CVE-2026-105483

全角数字などの文字を使ったIPアドレス表記で、証明書の確認が正しく行われない問題があります。IPアドレスとして扱うべき相手を、別の名前として見てしまいます。

Node.js 26.x、24.x の修正版へ更新してください。IPアドレスを文字で受け取る仕組みがある場合...

Node.js — CVE-2026-106069

IPアドレスの書き方によって、接続先と証明書の確認先がずれる問題があります。見た目が少し違う数字の書き方で、別の相手を正しいと判定することがあります。

Node.js 26.x、24.x、22.x の修正版へ更新してください。IPアドレスを使う通信があるサービスは...

Next.js — CVE-2026-94482

Next.jsの一部の構成で、細工したリクエストを送るとCPUを使い切ってしまう問題があります。App RouterでServer Actionを使っているサイトが影響を受け、処理が遅くなることがあります。

Next.jsを15.5.28または16.4.1へ更新してください。Pages RouterのみのサイトやServer Actionを...

Node.js — CVE-2026-113872

Node.js用のファイルアップロード部品multerに、特定の条件で動作が止まる問題があります。非同期の条件判定を使っていると、1回のリクエストでアプリが落ちることがあります。

multerを2.5.0以上へ更新してください。すぐに更新できない場合は、非同期ではないfileFilterに...

Node.js — CVE-2026-111181

Node.jsとExpressで使うbody-parserに、圧縮された送信データの扱いで問題があります。特定のリクエストを受けると、アプリがエラー終了するおそれがあります。

body-parserを2.4.0または1.20.9へ更新してください。更新までの間は、圧縮データの受付を無効に...