ホーム›WordPress・PHPの移行とセキュリティ対応›脆弱性情報
毎日自動更新｜日本語で解説
Node.jsの脆弱性情報
WordPress・PHPだけでなく、Laravel・EC-CUBE・Drupal・Node.js・Next.js・Apache・nginx・MySQL・OpenSSLなど、お店や会社のホームページとサーバーに関わる脆弱性を毎朝自動で収集。
「何が危ないか」「どうすればよいか」を、ITに詳しくない方にも分かる日本語で解説しています。
CMS・ECサイト
言語・フレームワーク
サーバー・データベース
Node.js — CVE-2026-113656
ApostropheCMS Formの古い版では、送信前のファイルが大きくてもそのまま受け付けてしまいます。未認証の送信を何度も行われると、一時保存領域が圧迫されます。
ApostropheCMS Formを1.5.5へ更新してください。不要な大容量アップロードを受けないよう、送信...
Node.js — CVE-2026-113653
ApostropheCMSで、公開表示の設定によっては匿名訪問者にユーザー情報が見えてしまうことがあります。本来は見せないはずの項目が、テンプレートの作り方次第で表示される場合があります。
ApostropheCMSを4.33.0へ更新してください。公開APIや公開テンプレートでユーザーオブジェクトを...
Node.js — CVE-2026-113652
ApostropheCMSのuploadfsでAzure連携を使うと、公開画像などのURLに本来見せるべきでない認証情報が含まれることがあります。設定が特定の条件に合う場合、URLを見るだけで情報が漏れるおそれがあります。
ApostropheCMSを1.28.0へ更新してください。Azureバックエンドを使い、sas: trueにしている場合...
Node.js — CVE-2026-113654
sanitize-htmlで、noscriptを含む特別な設定を使うと、消したはずの内容が残る問題です。安全な表示のつもりでも、危険な内容が画面に出るおそれがあります。
sanitize-htmlを2.18.0へ更新してください。noscriptを許可している場合は設定を見直し、不要な...
Node.js — CVE-2026-113657
sanitize-htmlで、特定のSVG設定を使うと安全でないリンク先を残せる問題です。表示後に、利用者が触るリンク先が書き換わるおそれがあります。
sanitize-htmlを2.18.0へ更新してください。SVGの許可設定を見直し、不要なら外しましょう。
Node.js — CVE-2026-113651
uploadfsの古い版では、ファイル名に特別な記号を含めることで、保存先の外にあるファイルへ触れてしまうことがあります。使い方によっては、読み取りや削除まで影響する場合があります。
uploadfsを1.28.0へ更新してください。利用者から渡されたパスをそのまま使っていないか、アプリ...
Node.js — CVE-2026-113650
sanitize-html 2.18.0では、許可されていないiframeの内容を何度も確認する際に、処理が深くなりすぎることがあります。大きな入力を与えられると、繰り返し処理が止まらなくなる場合があります。
sanitize-htmlを2.18.1へ更新してください。外部入力を受ける機能がある場合は、入力サイズの制...
Node.js — CVE-2026-113648
import-exportのAPIの一部で、認証や権限確認なしに処理を呼び出せる状態があります。サイトを訪れただけで得られる通常のCSRF cookieがあると、外部から実行される可能性があります。
import-exportを3.7.1へ更新してください。該当APIが外部から呼べないよう、権限設定と公開範囲...
Node.js — CVE-2026-113649
import-export機能の古い版では、取り込み権限はあるが公開権限が弱い利用者が、公開済みの内容を作成・置換・削除できてしまうことがあります。公開前後の確認が十分に行われない場合があります。
import-exportを3.7.1へ、ApostropheCMS本体を4.34.0へ更新してください。取り込み権限を持つ人...
Node.js — CVE-2026-112957
ページ取得APIの一部で、閲覧権限の制限や見せない項目の隠し処理が十分に働きません。IDを知っていれば、管理者向けページの内容を読めてしまうことがあります。
ApostropheCMSを4.34.0へ更新してください。ページ取得APIを使う画面がある場合は、権限設定も合...
Node.js — CVE-2026-112958
自由入力のスタイル値に引用符が入ると、HTMLとして正しく逃がされず、別の属性を追加できることがあります。公開された内容や上位権限の下書きを見るときに起きる場合があります。
ApostropheCMSを4.34.0へ更新してください。自由入力のスタイル欄を使っている箇所は、入力制限...
Node.js — CVE-2026-112954
公開APIで、検索や並び替えの結果から、見せないはずの項目の有無を推測できる問題です。値そのものは返らなくても、隠したい情報の手がかりになります。
ApostropheCMS を 4.34.0 へ更新してください。公開APIで返す項目と検索条件を見直し、不要な情...
Node.js — CVE-2026-112953
エクスポートしたファイル名が予測できるため、公開保存先にある他人のエクスポートを見られるおそれがある問題です。認証なしでダウンロードされる可能性があります。
ApostropheCMS を 3.7.1 へ更新してください。エクスポート保存先が公開になっていないか確認し...
Node.js — CVE-2026-112952
ログイン済みの利用者が、APIでスラッグ（URL名）が使われているかを全種類の文書で確認できてしまう問題です。下書きや非公開、アーカイブ済みの存在を推測されるおそれがあります。
ApostropheCMS を 4.34.0 へ更新してください。編集者を含むログイン利用者に不要な操作がないか...
Node.js — CVE-2026-112956
import-export 機能で、下書き権限のある利用者が公開済みの文書を差し替え先に選べてしまう問題です。公開・下書きの境界をまたいで、本来触れない内容を操作できるおそれがあります。
ApostropheCMS を修正版の 3.7.1 へ更新してください。import-export を使っている場合は、公開...
Node.js — CVE-2026-112955
import-exportの古い版では、取り込みデータの大きさや数に十分な上限がなく、展開時の失敗でも後片付けが残ることがあります。認証済みの利用者が大きなファイルを送ると、処理が重くなる場合があります。
import-exportを3.7.1へ更新してください。大きな取り込みを許していないか、運用ルールと権限設...
Node.js — CVE-2026-112951
color フィールドに、色指定の後ろへ不正なHTMLを混ぜられる問題です。保存された内容が表示されたときに、攻撃用の処理が動くおそれがあります。
ApostropheCMS を 4.34.0 へ更新してください。編集権限のある利用者を見直し、既存データに不審...
Node.js — CVE-2026-112942
Windows のファイル指定で、存在確認の前後の処理にずれがあり、実在しない名前でも通してしまう問題です。別の不具合と組み合わさると、コマンド実行につながります。
launch-editor を 2.14.2 へ更新してください。middleware を使う構成なら、Windows 向けの入力...
Node.js — CVE-2026-112943
Windows で、環境変数に含まれる「%」の扱いが不十分な問題です。特定の値があると、意図しない内容が実行されるおそれがあります。
launch-editor を 2.14.2 へ更新してください。Windows で使っている場合は、環境変数の値も見直...
Node.js — CVE-2026-112944
ファイル名に「+」や「-」で始まる値を使うと、エディタがそれを命令の一部と誤解する問題です。条件がそろうと、意図しない上書きやコマンド実行につながります。
launch-editor を 2.14.2 へ更新してください。Node.js からエディタ起動を使う仕組みがある場合...
自分のサイトが該当するか分からない方へ
URLを送っていただくだけで、お使いのCMS・PHP・サーバーのバージョンと危険なプラグインを無料で診断します。月額契約なら、該当する脆弱性が出るたびにリアルタイムでお知らせし、更新・応急対応まで当社が行います。
NVD（米国NIST運営の脆弱性データベース）、WordPress.org、PHP.net の公式発表を毎朝6時30分に自動で取り込み、AIが日本語の解説を作成しています。月額契約（20,000円税別〜）のお客さまには、お使いの製品に該当するものをリアルタイム（公表当日）にお知らせし、更新・対応まで行っています。
CVSSは0〜10で危険度を表す国際的な指標です。9.0以上は「緊急」、7.0〜8.9は「重要」。緊急・重要のものは、公表から数日以内に攻撃が始まることが珍しくありません。
お使いのCMS・プラグイン・PHPのバージョンが分からない場合は、制作会社・保守会社に「この脆弱性の影響はありますか」と聞くのが最短です。分からなければ当社の無料診断をご利用ください。
※ 本ページの情報は NVD（NIST）、WordPress.org、PHP.net から自動収集し、解説はAIが生成しています。正確な内容・対象バージョンは必ず各リンク先の原文をご確認ください。掲載は網羅性を保証するものではありません。