Node.jsの脆弱性情報

Node.js — CVE-2026-77078

Node.js の multer で、細工したフォーム送信によりエラーが処理されず、アプリが落ちることがあります。小さなリクエストでもサービス停止につながるおそれがあります。

multer 2.3.0 へ更新してください。アップロード機能を公開している場合は、早めの更新をおすす...

Node.js — CVE-2026-55215

MariaDB Connector/Node.js で、証明書確認が終わる前にパスワードが送られる場合があります。中間者攻撃（通信の途中でのぞく攻撃）により、認証情報を盗まれるおそれがあります。

3.3.3、3.4.6、3.5.3 へ更新してください。証明書の固定や CA の設定も行い、接続先の確認を強化...

Node.js — CVE-2026-55553

Node.js向けの urllib で、別の場所へ転送されるときに、前の通信で使った認証情報をそのまま引き継いでしまう問題があります。転送先が別のサイトでも、ヘッダーやログイン情報が送られることがあります。

2.44.1 または 4.9.1 へ更新してください。自社で使っていない場合でも、依存しているアプリや基...

Node.js — CVE-2026-76842

Node.js向けのMercado Pago SDKで、外部から渡されたIDの扱いが不十分な問題があります。IDに特別な文字を入れると、意図しないAPI先へ通信が向くおそれがあります。

Mercado Pago SDKを使う箇所で、外部入力のIDをそのまま渡していないか確認してください。提供元...

Node.js — CVE-2026-76172

Node.jsのfast-uriに、URLの一部を誤って解釈してしまう問題があります。入力の書き方によって、別の場所へ飛ばされたり、想定外の宛先へ接続されるおそれがあります。

2.4.5、3.1.6、4.1.3へ更新してください。URLの正規化や接続先チェックをしている場合は、更新後...

Node.js — CVE-2026-75931

Node.jsのfast-uriに、同じURLでも書き方で別の宛先として扱われる問題があります。確認した宛先と、実際に接続される宛先がずれるおそれがあります。

2.4.5、3.1.6、4.1.3へ更新してください。URLの許可リストを使っている場合は、更新後に判定のズ...

Node.js — CVE-2026-75975

Node.jsのfast-uriに、IPv6アドレスの書式チェックが不十分な問題があります。変な文字が混ざった入力でも、別の有効な接続先として扱われるおそれがあります。

2.4.5、3.1.6、4.1.3へ更新してください。URLの正規化や接続先制限を使っている場合は、更新後に...

Node.js — CVE-2026-75899

Node.jsのfast-uriに、%記号の扱いを二重に処理してしまう問題があります。入力したURLと、実際に使われる接続先が変わるおそれがあります。

2.4.5、3.1.6、4.1.3へ更新してください。URLの正規化やリダイレクト確認をしている場合は、あわ...

Node.js — CVE-2026-63421

Node.js の Keystone に、取得件数の制限をすり抜けて多くのデータを返せる問題があります。認証なしで大量の情報を取られたり、負荷が増えたりするおそれがあります。

Keystone を 6.5.3 以上へ更新してください。公開APIの制限を確認し、必要なら制作会社・保守会...

Node.js — CVE-2026-47683

Node.js向けのvm2で、メモリ使用量の制限が一部の処理で効かず、大きなメモリを消費させられる問題があります。攻撃者が負荷の高い処理を行うと、サーバーに大きな負担がかかります。

3.11.6へ更新してください。制限設定をしていても油断せず、利用箇所を確認して早めに対応しまし...

Node.js — CVE-2026-71553

ApostropheCMSで、記事更新の処理に不備があり、編集者が本来触れない共通設定を書き換えられる問題があります。これにより、同じサーバー上の動作全体に悪影響が出るおそれがあります。

修正版の有無を確認し、速やかに更新してください。編集権限の見直しも合わせて行いましょう。