言語・フレームワークの脆弱性情報

Node.js — CVE-2026-116693

Node.js向けのdd-traceで、細工したURLにより処理が重くなる問題です。アクセスを受けるたびにCPUを使いすぎて、動作が遅くなったり止まったりするおそれがあります。

dd-traceを5.131.1または6.20.1以降に更新してください。更新までの間は、外部からの不審なURLア...

Node.js — CVE-2026-116576

Node.js向けのライブラリで、外部から渡されたサービス名の扱いに問題があります。Windows環境では、特定の文字を使うと本来想定しない命令が実行されるおそれがあります。

5.33.16 へ更新してください。自社のアプリがこのライブラリに入力を渡していないか、制作会社・...

Node.js — CVE-2026-115930

mongosh が使う Node.js に、信頼する証明書の保存内容に問題があります。古い内容が残っているため、正しくない証明書を信頼してしまうおそれがあります。

mongosh を 2.14.0 へ更新してください。npm で入れている場合は、ホスト側の Node.js も別途更...

Node.js — CVE-2026-105482

文字列の中にNUL文字（見えない区切り文字）が入ると、DNSの確認が途中で切れてしまう問題があります。別の名前として扱われるはずの相手を、そのまま調べてしまいます。

Node.js 26.x、24.x、22.x の修正版へ更新してください。ドメインの許可リストで確認してから名...

Node.js — CVE-2026-105483

全角数字などの文字を使ったIPアドレス表記で、証明書の確認が正しく行われない問題があります。IPアドレスとして扱うべき相手を、別の名前として見てしまいます。

Node.js 26.x、24.x の修正版へ更新してください。IPアドレスを文字で受け取る仕組みがある場合...

Node.js — CVE-2026-106069

IPアドレスの書き方によって、接続先と証明書の確認先がずれる問題があります。見た目が少し違う数字の書き方で、別の相手を正しいと判定することがあります。

Node.js 26.x、24.x、22.x の修正版へ更新してください。IPアドレスを使う通信があるサービスは...

Next.js — CVE-2026-94482

Next.jsの一部の構成で、細工したリクエストを送るとCPUを使い切ってしまう問題があります。App RouterでServer Actionを使っているサイトが影響を受け、処理が遅くなることがあります。

Next.jsを15.5.28または16.4.1へ更新してください。Pages RouterのみのサイトやServer Actionを...

Node.js — CVE-2026-113872

Node.js用のファイルアップロード部品multerに、特定の条件で動作が止まる問題があります。非同期の条件判定を使っていると、1回のリクエストでアプリが落ちることがあります。

multerを2.5.0以上へ更新してください。すぐに更新できない場合は、非同期ではないfileFilterに...

Node.js — CVE-2026-111181

Node.jsとExpressで使うbody-parserに、圧縮された送信データの扱いで問題があります。特定のリクエストを受けると、アプリがエラー終了するおそれがあります。

body-parserを2.4.0または1.20.9へ更新してください。更新までの間は、圧縮データの受付を無効に...

Node.js — CVE-2026-114144

Node.js向けのtoml-nodeで、極端に長いデータを読むと処理が重くなる不具合です。1つのファイルだけで、他の処理まで止まりやすくなります。

toml-nodeを5.0.1へ更新してください。外部から受け取るTOMLファイルの扱いを見直し、必要なら入...

Node.js — CVE-2026-114141

toml-node が特定の TOML ファイルを処理すると、同じような見出しが大量にあるだけで極端に重い処理が発生します。その結果、Node.js の動きが止まり、他の処理が進まなくなるおそれがあります。

toml-node を 5.0.1 に更新してください。自作や外部連携で TOML を読み込んでいる場合は、更新...

Django — CVE-2026-114137

認証トークンを削除したつもりでも、実際には消えていないことがある問題です。画面や自動処理では成功に見えても、古いトークンがそのまま使えてしまう場合があります。

Django REST framework を 3.18.2 に更新してください。トークン失効の処理を使っている場合は、...

Django — CVE-2026-114138

Accept ヘッダーに非常に多くの値を入れると、Django REST framework が何度も解析処理を行い、CPU を大量に使います。正規の利用者が少なくても、サーバーが重くなることがあります。

Django REST framework を 3.18.2 に更新してください。公開APIでは、必要に応じてリクエストの...

Node.js — CVE-2026-114142

特定の TOML の書き方を使うと、プログラムの共通の設定部分に攻撃者の値が入り込むおそれがあります。ほかのオブジェクトにも影響し、想定外の動作を起こす可能性があります。

toml-node を 5.0.1 に更新してください。TOML を外部から受け取る処理がある場合は、更新まで入...

Node.js — CVE-2026-114143

長いキー名や階層の深い TOML を読むと、同じ処理を何度も繰り返してしまいます。処理が重くなり、メモリを使い切って止まることもあります。

toml-node を 5.0.1 に更新してください。長い設定ファイルを扱う機能がある場合は、更新後に負...

Django — CVE-2026-114136

JSON の文字コード指定を悪用すると、小さな通信でも内部で大きく展開され、メモリを多く消費します。見た目は小さいリクエストでも、サーバーには大きな負荷がかかります。

Django REST framework を 3.18.2 に更新してください。JSON を受け付ける公開エンドポイントが...