言語・フレームワークの脆弱性情報

Node.js — CVE-2026-102826

Node.js向けのsimple-gitで、clone時の設定読み込みを止めきれない問題がありました。攻撃者が用意した設定ファイルを読み込むと、Gitが任意の動作をするおそれがあります。

simple-gitを4.0.0以降へ更新してください。外部のファイルを読み込ませる運用がないか確認し、...

Node.js — CVE-2026-102281

深く入り組んだデータを送ると、NestJSのマイクロサービスが止まる問題です。TCPやRabbitMQを使う構成で、例外が処理されず落ちます。

NestJSを使っているなら 11.2.4 または 12.0.2 へ更新してください。TCPやRabbitMQを使う機能が...

Node.js — CVE-2026-101907

Axiosのfetch adapterで、リダイレクト禁止の設定が正しく効かない問題があります。設定していても転送先に進んでしまい、想定外の通信になるおそれがあります。

Axiosを1.20.0以上に更新してください。リダイレクトを止める設定を使っている場合は、更新後に...

Node.js — CVE-2026-101906

Axiosで、特定のリダイレクト先を処理するときに、内部の文字列処理が極端に重くなる問題があります。条件がそろうと、Node.jsの処理全体が止まりやすくなります。

Axiosを1.20.0以上に更新してください。プロキシ設定を使っている環境では、先に保守会社へ影響...

Node.js — CVE-2026-101909

Axiosで、細工されたオブジェクトの影響を受けて送信内容の解釈が変わる問題があります。条件がそろうと、処理失敗や不正な関数実行につながるおそれがあります。

Axiosを0.34.0または1.20.0へ更新してください。Node.jsアプリで使っている場合は、依存先も含め...

Node.js — CVE-2026-101901

Node.jsで使われるAxiosに問題があり、HTTP/2通信中にエラー処理が足りない状態があります。特定の条件でエラーが未処理のまま外に出ると、Node.jsの処理が止まるおそれがあります。

Axiosを1.20.0へ更新してください。自社開発で使っている場合は、保守会社に影響確認と更新対応...

Node.js — CVE-2026-101903

Axiosで、data URIの判定に使う処理が重くなる問題があります。細工した長い文字列を送ると、Node.jsの処理が止まりやすくなります。

Axiosを1.20.0以上に更新してください。data URIを扱う機能がある場合は、外部入力の長さ制限も...

Node.js — CVE-2026-101905

Node.js版Axiosで、通信先を決める処理の確認が足りない問題があります。別の不具合と組み合わさると、見た目は正しいURLでも、実際には攻撃者のサーバーにつながる可能性があります。

Axiosを1.20.0へ更新してください。通信先を固定している場合でも、設定が上書きされていないか...

Node.js — CVE-2026-101898

Node.js版Axiosで、HTTP/2通信時にプロキシ設定やDNS設定が正しく反映されないことがあります。意図した中継を通らずに通信してしまう場合があります。

Axiosを1.20.0へ更新してください。プロキシやDNSの制御を使っている環境は、更新後に動作確認を...

Node.js — CVE-2026-100690

HugoがNode.jsの機能を使ってファイル読み込みを制限していても、シンボリックリンク（別の場所への近道）を見逃す問題があります。これにより、公開してよい範囲外のファイルを読めてしまうことがあります。

v0.166.0へ更新してください。Node.jsツールを使っているプロジェクトでは、制作会社や保守担当...

PHP — CVE-2026-91765

PHPのSOAP機能で、深く入れ子になったデータを処理すると、再帰が止まらずに深く呼び出され続ける問題があります。細工したリクエストで、処理を落とせることがあります。

PHPを修正版へ更新してください。SOAPの公開先がある場合は、制作会社や保守会社に相談し、外部...

Laravel — CVE-2026-61825

code16 Sharpの編集機能で、見た目は消したつもりでも危険な内容が残る問題です。`data-html-content` の扱いに不備があり、保存した内容が次の閲覧時に実行されることがあります。

code16 Sharpを9.22.5へ更新してください。RAW_HTMLを使っている場合は特に注意し、不要なら無効...

Laravel — CVE-2026-61823

code16 Sharpのリッチテキスト編集機能で、保存された内容に不正なJavaScriptが残ってしまう問題です。iframeの扱いに不備があり、編集権限を持つ利用者の入力が別の利用者に悪影響を与える可能性があります。

code16 Sharpを9.22.5へ更新してください。更新できない場合は、Editor fieldの内容を保存・表示...

Laravel — CVE-2026-96744

LaravelのMongoDB連携で、ロックの持ち主情報の扱いに不備があります。値の受け取り方によって、別の処理のロックを勝手に外したり、奪ったりできるおそれがあります。

MongoDB連携を使っている場合は、修正版の有無を確認して更新してください。独自実装があるなら...

Ruby on Rails — CVE-2026-94462

Spreeの買い物かごを他人のアカウントにひも付ける際、所有確認が十分でない問題です。ログイン済みの利用者が、住所などが入ったゲストのカート情報を取得できる可能性があります。

Spreeを5.4.4または5.5.4へ更新してください。ログイン不要で購入できる設定を使っている場合は...

Next.js — CVE-2026-56681

9Routerで、接続元をローカル端末だと誤認させることでAPIキー確認を飛ばせる問題です。攻撃者がヘッダーを書き換えると、設定済みのLLM機能を勝手に使われる可能性があります。

9Routerを0.5.6へ更新してください。外部からNext.jsへ直接届く構成がないか確認し、custom-serv...

Node.js — CVE-2026-77301

ZIPファイルのサイズ情報を先に信じてしまい、不要に大きなメモリを確保する問題があります。細工したZIPを読み込むと、処理が重くなったり止まったりするおそれがあります。

0.6.1 へ更新してください。外部から受け取ったZIPを処理するアプリは、アップデート前に受信元...

Django — CVE-2026-93456

管理画面の一部で、外部サイトからの不正な操作を防ぐ仕組みが抜けています。ログイン中の編集者がだまされると、ページ内容を書き換えられるおそれがあります。

django-page-cms を 2.0.13 より新しい版へ更新してください。管理画面の操作権限と二要素認証の...