ホーム›WordPress・PHPの移行とセキュリティ対応›脆弱性情報
Node.jsの脆弱性情報
WordPress・PHPだけでなく、Laravel・EC-CUBE・Drupal・Node.js・Next.js・Apache・nginx・MySQL・OpenSSLなど、お店や会社のホームページとサーバーに関わる脆弱性を毎朝自動で収集。
「何が危ないか」「どうすればよいか」を、ITに詳しくない方にも分かる日本語で解説しています。
CMS・ECサイト
言語・フレームワーク
サーバー・データベース
Node.js — CVE-2026-63669
ApostropheCMSで、ページの移動時に移動先の権限確認が十分でない問題があります。認証済みの編集者や投稿者が、制限された場所へページを移せる可能性があります。
4.32.0へ更新してください。ページ移動権限と編集権限をあわせて見直しましょう。
Node.js — CVE-2026-63667
ApostropheCMSの取り込み機能で、保存先の確認が不十分なため、指定外のファイルを参照されるおそれがあります。認証済みの投稿者が細工したデータを使うと、想定外のファイルが公開される可能性があります。
3.6.2へ更新してください。ファイル取り込み機能を使っている場合は、すぐに保守会社へ確認しま...
Node.js — CVE-2026-73650
SVGをきれいにする処理で、名前空間付きのscript要素などが取り除かれないことがあります。細工されたSVGをそのまま公開すると、閲覧時にスクリプトが動くおそれがあります。
2.8.3、3.3.4、4.0.2のいずれか以降へ更新してください。外部から受け取ったSVGは、公開前に再確...
Node.js — CVE-2026-73651
TypeORMのマイグレーション生成で、DBの情報をJavaScriptのひな形に埋め込む際に一部の記号の扱いが不十分です。DB側に細工された文字列があると、生成した移行ファイルを読み込んだときに不正なコードが実行されるおそれがあります。
0.3.31または1.1.0へ更新してください。自動生成したマイグレーションを取り込む前に、内容を確...
Node.js — CVE-2026-73566
特定の圧縮ファイルを読ませると、深すぎるパスをたどってしまい、エラーで処理が止まることがあります。ストリーミング処理中のNode.jsが落ちる可能性があります。
7.5.21へ更新してください。アップロードや展開にtarファイルを使う場合は、外部入力をむやみに...
Node.js — CVE-2026-73565
WebSocket接続の開始時に必要なヘッダーが不正だと、後片付けがされず、未処理の情報がたまり続けます。攻撃者がこれを繰り返すと、メモリが増え続けるおそれがあります。
2.0.10へ更新してください。公開WebSocketルートがある場合は、不正な接続を制限する設定も確認...
Node.js — CVE-2026-73561
未認証のWebSocket接続が来るたびに、返信待ちのタイマーや要求情報が残りやすい問題があります。接続を繰り返されると、処理資源が増え続けます。
0.2.16へ更新してください。公開WebSocketサーバーなら、接続数制限や監視もあわせて行ってくだ...
Node.js — CVE-2026-73231
Fakerの偽データ作成機能に、細工した内容でJavaScriptを動かせる問題がありました。ブラウザーやNode.jsで使うと、意図しないコードを実行されるおそれがあります。
Fakerを10.5.0以降へ更新してください。開発用のライブラリでも、使っているプロジェクト全体で...
Node.js — CVE-2026-73089
Browserslistで、検索条件の結果をため続けてしまう問題があります。繰り返し不正な値を渡されると、メモリ使用量が増え続けます。
修正版の4.28.7へ更新してください。あわせて、外部からBrowserslistの入力値を受け取る仕組みが...
Node.js — CVE-2026-73088
Browserslistで、読み込む統計データの扱いに問題があります。不正なデータが混ざると、エラーで止まったり、内部の値が書き換わるおそれがあります。
修正版の4.28.7へ更新してください。外部や未確認のstatsデータを使っている場合は、入力元も見...
Node.js — CVE-2026-71498
node-re2で、途中で切れた文字データを処理する際に問題があります。特定のデータを渡されると、配列の外側まで読み取ってしまうおそれがあります。
node-re2を1.26.1へ更新してください。外部入力を正規表現処理に渡す箇所があれば、あわせて点検...
Node.js — CVE-2026-71430
Node.js向けのnode-re2に、特定の置換処理で大量の文字列が作られると、途中で止められずに異常終了する不具合があります。入力次第で、サービスが突然落ちるおそれがあります。
1.25.1へアップデートしてください。大量の文字列置換を行う機能がある場合は、保守担当に確認し...
Node.js — CVE-2026-70596
Ghostで、スタッフが作る投稿の内容を悪用されると、別のスタッフの管理画面セッションを乗っ取られるおそれがあります。権限のない操作に広がる可能性があります。
6.54.1へアップデートしてください。スタッフの投稿権限と入力内容を見直し、不審な投稿やセッシ...
Node.js — CVE-2026-70595
Ghostで、入力の確認が不十分なため、外部の人が社内ネットワーク向けの通信を少しだけ発生させられる不具合があります。外部から内部の機器を狙う足がかりになるおそれがあります。
6.54.1へアップデートしてください。Webmentionsなど外部からの入力を受ける機能がある場合は、...
Node.js — CVE-2026-70594
Ghost Adminでログイン時に、古いログイン状態を無効にしていない問題があります。他の脆弱性と組み合わさると、乗っ取りにつながるおそれがあります。
Ghostを6.54.1へ更新してください。管理画面のログイン後に不審なセッションが残っていないか確...
Node.js — CVE-2026-70593
Ghostのカスタムテーマ機能で、アップロード先の外にファイルを書けてしまう問題があります。投稿者より強い権限を持つスタッフ操作で、想定外の場所に保存されます。
Ghostを6.54.1へ更新してください。カスタムテーマのアップロード機能を使っている場合は、権限...
Node.js — CVE-2026-70592
Ghostのデータベースバックアップ名の扱いに不備があり、管理者権限で任意のファイルを上書きできる可能性があります。保存名のチェックが足りません。
Ghostを6.54.1へ更新してください。バックアップ名に不審な文字が使われていないか確認し、管理...
Node.js — CVE-2026-70591
Ghost Adminの画像取得機能に、社内向けの機器へ問い合わせできてしまう問題があります。外には結果が出なくても、内部の状況を探られるおそれがあります。
Ghostを6.54.1へ更新してください。管理画面から外部URLを取り込む機能の利用を見直し、内部ネッ...
Node.js — CVE-2026-70590
Ghost Admin APIから、ほかのスタッフのパスワードの暗号化データが漏れる問題があります。すぐに見破られなくても、推測攻撃の手がかりになります。
Ghostを6.54.1へ更新してください。全スタッフのパスワード変更と、二要素認証や端末認証の設定...
Node.js — CVE-2026-70589
終了したサブスク特典でも、使えてしまう問題があります。利用条件の確認が足りず、本来は無効な特典を受け取れてしまいます。
Ghostを6.54.1へ更新してください。終了済みの特典が使われていないか確認し、会員や決済の運用...
自分のサイトが該当するか分からない方へ
URLを送っていただくだけで、お使いのCMS・PHP・サーバーのバージョンと危険なプラグインを無料で診断します。月額契約なら、該当する脆弱性が出るたびにリアルタイムでお知らせし、更新・応急対応まで当社が行います。
NVD（米国NIST運営の脆弱性データベース）、WordPress.org、PHP.net の公式発表を毎朝6時30分に自動で取り込み、AIが日本語の解説を作成しています。月額契約（20,000円税別〜）のお客さまには、お使いの製品に該当するものをリアルタイム（公表当日）にお知らせし、更新・対応まで行っています。
CVSSは0〜10で危険度を表す国際的な指標です。9.0以上は「緊急」、7.0〜8.9は「重要」。緊急・重要のものは、公表から数日以内に攻撃が始まることが珍しくありません。
お使いのCMS・プラグイン・PHPのバージョンが分からない場合は、制作会社・保守会社に「この脆弱性の影響はありますか」と聞くのが最短です。分からなければ当社の無料診断をご利用ください。
※ 本ページの情報は NVD（NIST）、WordPress.org、PHP.net から自動収集し、解説はAIが生成しています。正確な内容・対象バージョンは必ず各リンク先の原文をご確認ください。掲載は網羅性を保証するものではありません。