Node.jsの脆弱性情報

Node.js — CVE-2026-109869

Node.js の通信ライブラリ undici で、細工された応答を受けると処理が異常終了することがあります。アプリ側でエラーを受け取っていても、Node.js 本体が止まる場合があります。

undici を 6.29.1、7.30.1、8.12.2 以降へ更新してください。例外処理だけでは防げないため、早...

Node.js — CVE-2026-109829

Node.js の通信ライブラリ undici で、リダイレクト後の内容が別のURLのキャッシュに入ってしまう不具合があります。信頼したURLのはずが、別サイトの内容や個人向けの内容にすり替わることがあります。

undici を 7.30.1、8.12.2 以降へ更新してください。共有キャッシュとリダイレクトを組み合わせ...

Node.js — CVE-2026-109383

Node.js の通信ライブラリ undici で、証明書の確認方法が正しく引き継がれない問題があります。独自の確認処理を入れていても、一部の証明書が通ってしまうことがあります。

undici を 6.29.1、7.30.1、8.12.2 以降へ更新してください。証明書の独自確認を使っている場合...

Node.js — CVE-2026-109855

Node.js 用の通信部品 undici で、HTTP/2 を使った WebSocket 接続の失敗処理に問題があります。細工されたサーバーにつなぐと、Node.js の処理が止まることがあります。

undici を 8.11.2 以降へ更新してください。すぐ更新できない場合は allowH2 を false にして HT...

Node.js — CVE-2026-107385

文字列としてSQLを組み立てる場面で、特定の設定時にエスケープ処理が不十分になります。入力値を悪用すると、データベースに勝手なSQLを実行される可能性があります。

3.2.5、3.3.4、3.4.7、3.5.4のいずれかへ更新してください。特にsql_modeの設定と、文字列連結で...

Node.js — CVE-2026-107384

特定の設定を有効にすると、オブジェクトのキーがSQLの一部としてそのまま使われる場合があります。悪意ある文字を含めると、想定外のSQLが混ざるおそれがあります。

3.2.5、3.3.4、3.4.7、3.5.4のいずれかへ更新してください。permitSetMultiParamEntriesを有効に...

Node.js — CVE-2026-107383

地理情報のデータを作る処理で、形が不正な入力を受けると、不要なメモリ内容までDBに送ってしまうことがあります。サーバー上の他のデータが混ざるおそれがあります。

3.2.5、3.3.4、3.4.7、3.5.4のいずれかへ更新してください。不正な入力を受け付けないよう、アプ...

Node.js — CVE-2026-107302

受信データの長さ確認が不十分で、途中で切れたデータを読むとエラーになります。アプリによっては、処理待ちの途中で停止することがあります。

6.1.0へ更新してください。途中までしか届かないデータを受け取る設計なら、例外処理も見直して...

Node.js — CVE-2026-107300

Node.js向けのmsgpack5で、1つのデータの中にたくさんの値があると、処理が何度も自分を呼び出してしまいます。結果として、JavaScriptの処理限界を超え、通信やサービスが止まることがあります。

msgpack5を6.1.0以上に更新してください。Node.jsアプリでこのライブラリを使っている場合は、保...

Node.js — CVE-2026-105679

Ghost に、アップロードしたファイルの扱いに不備がある問題があります。特定の条件で、スタッフが上げたファイルをブラウザーが実行してしまうおそれがあります。

Ghost を 6.64.0 以上へ更新してください。ファイルアップロードを使っている場合は、公開設定と...

Node.js — CVE-2026-105677

Ghostで、テーマの翻訳ファイルの扱いに問題があり、細工したテーマによりサーバー上で不正なコードが動く可能性がありました。管理者権限があると悪用されやすい問題です。

Ghostを6.64.0へ更新してください。テーマは信頼できる提供元だけを使い、不審なテーマは入れな...

Node.js — CVE-2026-105675

Ghostで、スタッフ招待の詳細を見られる人が、まだ承認前の招待トークンを見つけられる問題です。自分より上の権限向け招待も見えてしまうことがありました。

Ghostを6.64.0へ更新してください。招待機能を使う運用では、招待の確認権限を必要最小限に絞っ...

Node.js — CVE-2026-105651

Ghostで、外部サイトから取得した画像以外のファイルを、アイコンやサムネイルとして保存してしまう問題です。結果として、任意のHTMLをサイトのドメイン上に置けてしまう場合がありました。

Ghostを6.64.0へ更新してください。Contributorを含むスタッフ権限の見直しも行い、外部サイト由...

Node.js — CVE-2026-105650

Ghostで、攻撃者が用意したURLを埋め込むと、信用できないスクリプトが記事に保存される問題です。公開サイトやメール内でも動くおそれがありました。

Ghostを6.64.0へ更新してください。外部URLの埋め込みを使う運用は見直し、怪しいリンクや埋め込...

Node.js — CVE-2026-105649

Ghostで、SVG画像や、SVGなのに別の拡張子でアップロードされた画像が、検査されずに保存される問題です。細工したスクリプトを置けてしまう場合がありました。

Ghostを6.65.0へ更新してください。SVGのアップロード運用を見直し、不要なら制限してください。...

Node.js — CVE-2026-105642

Ghostに含まれる画像処理機能のSVG対応に問題があり、細工されたサイトを開くと悪用されるおそれがあります。管理者がブックマークカードを作ると、サーバー上で不正な命令が実行される可能性があります。

Ghostを6.67.0へ更新してください。外部サイトを登録する操作は管理者に限定し、制作会社にも緊...

Node.js — CVE-2026-105643

Ghostのエディタで、投稿内容に不正なスクリプトを入れられるおそれがあります。別のスタッフがその投稿を開くと、画面上で悪意ある処理が動く可能性があります。

Ghostを6.67.0へ更新してください。自社運用の場合は、設定が既定値のままか確認し、スタッフ権...

Node.js — CVE-2026-102282

Node.jsのadm-zipに、ZIP内の権限情報をそのまま使ってしまう問題があります。細工されたZIPを展開すると、危険な権限を持つファイルが作られることがあります。

adm-zipを0.6.1へ更新してください。ZIPファイルを扱う処理がある場合は、開発会社や保守担当に...