言語・フレームワークの脆弱性情報

Node.js — CVE-2026-113711

ApostropheCMSで、ログイン前の人でもアップロード準備などの処理を進められる問題です。あとから確認で止められますが、不要な処理が先に動いてしまいます。

ApostropheCMSを使っている場合は、4.33.0へ更新してください。import-exportモジュールも3.7.0...

Node.js — CVE-2026-113666

ApostropheCMSで、特定の編集権限を持つ人が不適切なデータを送ると、共有部分が壊れるおそれがある問題です。SQLiteやPostgreSQLなどの一部構成で、動作停止につながる可能性があります。

db-connectを1.1.0へ、ApostropheCMSを4.33.0へ更新してください。SQLite、PostgreSQL、multipos...

Node.js — CVE-2026-111756

follow-redirectsで、リダイレクト先が変わったときに認証情報を消し忘れる場合がある問題です。特定のヘッダー形式を使うと、別のサイトへ情報が送られるおそれがあります。

follow-redirectsを1.16.1へ更新してください。外部から来るリダイレクト先をそのまま信用せず、...

Node.js — CVE-2026-113658

公開のCSV変換機能で、受け取ったファイルを先に一時保存してから確認するため、不要なファイルが残ることがあります。大きなファイルを繰り返し送られると、一時ディスクが埋まりやすくなります。

ApostropheCMSを4.33.0へ更新してください。公開の変換機能が不要なら停止し、アップロード容量...

Node.js — CVE-2026-112942

Windows のファイル指定で、存在確認の前後の処理にずれがあり、実在しない名前でも通してしまう問題です。別の不具合と組み合わさると、コマンド実行につながります。

launch-editor を 2.14.2 へ更新してください。middleware を使う構成なら、Windows 向けの入力...

Node.js — CVE-2026-111755

リダイレクト先をたどる処理で、特定のヘッダー名の判定がうまく働かず、認証情報が別のサイトへ送られることがあります。条件がそろうと、意図しない相手に機密情報が渡るおそれがあります。

follow-redirects を 1.16.1 へ更新してください。Node.js アプリでこのライブラリを使っている...

Node.js — CVE-2026-87018

TLS 1.2 の再交渉時に、証明書の確認処理が想定外の例外を起こす問題があります。悪意のある HTTPS サーバーに接続すると、Node.js の処理が止まることがあります。

undici を 6.29.1、7.30.1、8.12.2 以降へ更新してください。TLS 1.2 を使う接続があるか確認し...

Node.js — CVE-2026-109869

Node.js の通信ライブラリ undici で、細工された応答を受けると処理が異常終了することがあります。アプリ側でエラーを受け取っていても、Node.js 本体が止まる場合があります。

undici を 6.29.1、7.30.1、8.12.2 以降へ更新してください。例外処理だけでは防げないため、早...

Node.js — CVE-2026-109829

Node.js の通信ライブラリ undici で、リダイレクト後の内容が別のURLのキャッシュに入ってしまう不具合があります。信頼したURLのはずが、別サイトの内容や個人向けの内容にすり替わることがあります。

undici を 7.30.1、8.12.2 以降へ更新してください。共有キャッシュとリダイレクトを組み合わせ...

Node.js — CVE-2026-109383

Node.js の通信ライブラリ undici で、証明書の確認方法が正しく引き継がれない問題があります。独自の確認処理を入れていても、一部の証明書が通ってしまうことがあります。

undici を 6.29.1、7.30.1、8.12.2 以降へ更新してください。証明書の独自確認を使っている場合...

Next.js — CVE-2026-100409

OpenNext Cloudflare で、暗号化されたURLの扱いが一貫せず、認可チェックをすり抜けることがあります。保護されたページの内容が、許可なしに表示されるおそれがあります。

OpenNext Cloudflare を 1.20.2 へ更新してください。middleware でアクセス制御をしている場合...

jQuery — CVE-2026-108116

Kendo UI for jQuery の PivotGrid XMLA 通信で、細工した入力が別の命令やXMLとして扱われることがあります。データ取得用の通信に、想定外の内容を混ぜ込めるおそれがあります。

Kendo UI for jQuery を v2026.3.1015 以降へ更新してください。XMLA 通信を使っている場合は、...

Node.js — CVE-2026-109855

Node.js 用の通信部品 undici で、HTTP/2 を使った WebSocket 接続の失敗処理に問題があります。細工されたサーバーにつなぐと、Node.js の処理が止まることがあります。

undici を 8.11.2 以降へ更新してください。すぐ更新できない場合は allowH2 を false にして HT...

Laravel — CVE-2026-110629

VentureDrake Laravel CRMの2.4.0未満で、読み取り専用の利用者でも一部の操作ができてしまいます。案件や見積、注文、請求書の内容を不正に変更されるおそれがあります。

2.4.0以上へ更新してください。Livewireの操作権限と、読み取り専用ユーザーの権限設定を確認し...

Laravel — CVE-2026-110630

VentureDrake Laravel CRMの2.4.0未満で、管理者の権限確認が不十分です。別チームのユーザー削除や、Owner権限の付与ができてしまうおそれがあります。

2.4.0以上へ更新してください。利用中の管理者権限とユーザー管理の操作範囲を見直し、不要な権...

Node.js — CVE-2026-107385

文字列としてSQLを組み立てる場面で、特定の設定時にエスケープ処理が不十分になります。入力値を悪用すると、データベースに勝手なSQLを実行される可能性があります。

3.2.5、3.3.4、3.4.7、3.5.4のいずれかへ更新してください。特にsql_modeの設定と、文字列連結で...

Node.js — CVE-2026-107384

特定の設定を有効にすると、オブジェクトのキーがSQLの一部としてそのまま使われる場合があります。悪意ある文字を含めると、想定外のSQLが混ざるおそれがあります。

3.2.5、3.3.4、3.4.7、3.5.4のいずれかへ更新してください。permitSetMultiParamEntriesを有効に...

Node.js — CVE-2026-107383

地理情報のデータを作る処理で、形が不正な入力を受けると、不要なメモリ内容までDBに送ってしまうことがあります。サーバー上の他のデータが混ざるおそれがあります。

3.2.5、3.3.4、3.4.7、3.5.4のいずれかへ更新してください。不正な入力を受け付けないよう、アプ...

Node.js — CVE-2026-107302

受信データの長さ確認が不十分で、途中で切れたデータを読むとエラーになります。アプリによっては、処理待ちの途中で停止することがあります。

6.1.0へ更新してください。途中までしか届かないデータを受け取る設計なら、例外処理も見直して...