ホーム›WordPress・PHPの移行とセキュリティ対応›脆弱性情報
毎日自動更新｜日本語で解説
Node.jsの脆弱性情報
WordPress・PHPだけでなく、Laravel・EC-CUBE・Drupal・Node.js・Next.js・Apache・nginx・MySQL・OpenSSLなど、お店や会社のホームページとサーバーに関わる脆弱性を毎朝自動で収集。
「何が危ないか」「どうすればよいか」を、ITに詳しくない方にも分かる日本語で解説しています。
CMS・ECサイト
言語・フレームワーク
サーバー・データベース
Node.js — CVE-2026-118663
@hono/node-serverで、静的ファイルを読むときにURLの解釈が二重になり、想定と違う場所のファイルを見に行くことがあります。保護したはずの入口を通り抜けて、静的公開中のファイルを読まれるおそれがあります。
2.1.3へ更新してください。保護した静的パスを使っている場合は、設定とミドルウェアの適用範囲...
Node.js — CVE-2026-118258
翻訳データを取りに行くURLに、言語名や名前空間の値がそのまま入ってしまうことがあります。攻撃者がその値を操作すると、追加のパラメータを勝手に付け足されるおそれがあります。
4.0.4へ更新してください。URLのテンプレートに言語名や名前空間を入れている場合は、設定を見直...
Node.js — CVE-2026-116693
Node.js向けのdd-traceで、細工したURLにより処理が重くなる問題です。アクセスを受けるたびにCPUを使いすぎて、動作が遅くなったり止まったりするおそれがあります。
dd-traceを5.131.1または6.20.1以降に更新してください。更新までの間は、外部からの不審なURLア...
Node.js — CVE-2026-116689
Node.jsのfollow-redirectsで、別サイトへ転送されたときに秘密のヘッダー情報が送られることがある問題です。想定外の相手に認証情報が渡るおそれがあります。
follow-redirectsを1.16.2に更新してください。転送先を信用できない場合は、リダイレクトの扱い...
Node.js — CVE-2026-116673
Node.jsのsysteminformationで、Linuxのネットワーク情報取得時にパスの確認が不十分な問題です。細工した入力があると、本来見えないファイルの一部を読まれる可能性があります。
systeminformationを5.33.14に更新してください。アプリ側でifaceの入力を外部から自由に渡せな...
Node.js — CVE-2026-116674
Node.jsのsysteminformationで、特定の名前を使うと内部の保存場所が壊される問題です。アプリの動き方やデータの扱いが変わり、予期しない不具合につながります。
systeminformationを5.33.13に更新してください。外部入力でインターフェース名をそのまま使わな...
Node.js — CVE-2026-116576
Node.js向けのライブラリで、外部から渡されたサービス名の扱いに問題があります。Windows環境では、特定の文字を使うと本来想定しない命令が実行されるおそれがあります。
5.33.16 へ更新してください。自社のアプリがこのライブラリに入力を渡していないか、制作会社・...
Node.js — CVE-2026-115930
mongosh が使う Node.js に、信頼する証明書の保存内容に問題があります。古い内容が残っているため、正しくない証明書を信頼してしまうおそれがあります。
mongosh を 2.14.0 へ更新してください。npm で入れている場合は、ホスト側の Node.js も別途更...
Node.js — CVE-2026-106071
`--allow-fs-read` や `--allow-fs-write` のワイルドカード設定で、短い名前が誤って許可されることがあります。想定より広い範囲にアクセスできてしまう場合があります。
Node.js 26.x の修正版へ更新してください。ファイル権限を細かく制限している場合は、設定の見...
Node.js — CVE-2026-106072
IPアドレスの見え方によって、証明書の確認が正しく行われない問題があります。数字の書き方を変えると、本来は通ってはいけない証明書が通る場合があります。
Node.js 26.x、24.x、22.x の修正版へ更新してください。証明書を使う通信をしているサービスは...
Node.js — CVE-2026-106073
権限を制限して使う機能で、ファイルの場所を調べる処理に確認漏れがあります。許可していない場所の情報まで見えてしまうおそれがあります。
Node.js 26.x、24.x、22.x の修正版へ更新してください。`--permission` を使っている場合は、設...
Node.js — CVE-2026-106074
一時的な乱数の情報が、起動用の保存データに残ってしまう問題があります。その結果、別の起動プロセスでも同じ値が出ることがあります。
Node.js 26.x、24.x、22.x の修正版へ更新してください。snapshot を使う仕組みでは、特に早めの...
Node.js — CVE-2026-105481
HTTPの接続を使い回す処理で、送る前の応答を正しい返答として扱ってしまうことがあります。内部処理が重いと、古いデータが混ざる可能性があります。
Node.js 26.x、24.x、22.x の修正版へ更新してください。接続の使い回しをしているアプリは、早...
Node.js — CVE-2026-106070
ZIPファイルの中身確認でエラーが起きても、内部に残ったデータをそのまま使ってしまうことがあります。正しくないZIPなのに、別の内容を読んでしまう可能性があります。
Node.js 26.x の修正版へ更新してください。ZIPを扱う機能がある場合は、取り込み前の確認方法も...
Node.js — CVE-2026-105482
文字列の中にNUL文字（見えない区切り文字）が入ると、DNSの確認が途中で切れてしまう問題があります。別の名前として扱われるはずの相手を、そのまま調べてしまいます。
Node.js 26.x、24.x、22.x の修正版へ更新してください。ドメインの許可リストで確認してから名...
Node.js — CVE-2026-105483
全角数字などの文字を使ったIPアドレス表記で、証明書の確認が正しく行われない問題があります。IPアドレスとして扱うべき相手を、別の名前として見てしまいます。
Node.js 26.x、24.x の修正版へ更新してください。IPアドレスを文字で受け取る仕組みがある場合...
Node.js — CVE-2026-106069
IPアドレスの書き方によって、接続先と証明書の確認先がずれる問題があります。見た目が少し違う数字の書き方で、別の相手を正しいと判定することがあります。
Node.js 26.x、24.x、22.x の修正版へ更新してください。IPアドレスを使う通信があるサービスは...
Node.js — CVE-2026-113872
Node.js用のファイルアップロード部品multerに、特定の条件で動作が止まる問題があります。非同期の条件判定を使っていると、1回のリクエストでアプリが落ちることがあります。
multerを2.5.0以上へ更新してください。すぐに更新できない場合は、非同期ではないfileFilterに...
Node.js — CVE-2026-111181
Node.jsとExpressで使うbody-parserに、圧縮された送信データの扱いで問題があります。特定のリクエストを受けると、アプリがエラー終了するおそれがあります。
body-parserを2.4.0または1.20.9へ更新してください。更新までの間は、圧縮データの受付を無効に...
Node.js — CVE-2026-111497
Node.jsで使われるBrotliの解凍機能に、細工したデータでメモリを壊せる不具合があります。外部から送られた圧縮データをきっかけに、情報漏えいや任意のコード実行が起きる可能性があります。
Brotliを使っている環境は、記載の修正版へ更新してください。Node.js本体や関連ライブラリを含...
自分のサイトが該当するか分からない方へ
URLを送っていただくだけで、お使いのCMS・PHP・サーバーのバージョンと危険なプラグインを無料で診断します。月額契約なら、該当する脆弱性が出るたびにリアルタイムでお知らせし、更新・応急対応まで当社が行います。
NVD（米国NIST運営の脆弱性データベース）、WordPress.org、PHP.net の公式発表を毎朝6時30分に自動で取り込み、AIが日本語の解説を作成しています。月額契約（20,000円税別〜）のお客さまには、お使いの製品に該当するものをリアルタイム（公表当日）にお知らせし、更新・対応まで行っています。
CVSSは0〜10で危険度を表す国際的な指標です。9.0以上は「緊急」、7.0〜8.9は「重要」。緊急・重要のものは、公表から数日以内に攻撃が始まることが珍しくありません。
お使いのCMS・プラグイン・PHPのバージョンが分からない場合は、制作会社・保守会社に「この脆弱性の影響はありますか」と聞くのが最短です。分からなければ当社の無料診断をご利用ください。
※ 本ページの情報は NVD（NIST）、WordPress.org、PHP.net から自動収集し、解説はAIが生成しています。正確な内容・対象バージョンは必ず各リンク先の原文をご確認ください。掲載は網羅性を保証するものではありません。