Node.jsの脆弱性情報

Node.js — CVE-2026-77078

Node.js の multer で、細工したフォーム送信によりエラーが処理されず、アプリが落ちることがあります。小さなリクエストでもサービス停止につながるおそれがあります。

multer 2.3.0 へ更新してください。アップロード機能を公開している場合は、早めの更新をおすす...

Node.js — CVE-2026-77037

Node.js の multer で、アップロード途中の異常終了時に後始末が不十分になる問題があります。ファイルの一部が残り、リソースを無駄に消費することがあります。

multer 2.3.0 へ更新してください。アップロード機能を使っている場合は、異常終了時の動作も確...

Node.js — CVE-2026-55215

MariaDB Connector/Node.js で、証明書確認が終わる前にパスワードが送られる場合があります。中間者攻撃（通信の途中でのぞく攻撃）により、認証情報を盗まれるおそれがあります。

3.3.3、3.4.6、3.5.3 へ更新してください。証明書の固定や CA の設定も行い、接続先の確認を強化...

Node.js — CVE-2026-55553

Node.js向けの urllib で、別の場所へ転送されるときに、前の通信で使った認証情報をそのまま引き継いでしまう問題があります。転送先が別のサイトでも、ヘッダーやログイン情報が送られることがあります。

2.44.1 または 4.9.1 へ更新してください。自社で使っていない場合でも、依存しているアプリや基...

Node.js — CVE-2026-76842

Node.js向けのMercado Pago SDKで、外部から渡されたIDの扱いが不十分な問題があります。IDに特別な文字を入れると、意図しないAPI先へ通信が向くおそれがあります。

Mercado Pago SDKを使う箇所で、外部入力のIDをそのまま渡していないか確認してください。提供元...

Node.js — CVE-2026-76172

Node.jsのfast-uriに、URLの一部を誤って解釈してしまう問題があります。入力の書き方によって、別の場所へ飛ばされたり、想定外の宛先へ接続されるおそれがあります。

2.4.5、3.1.6、4.1.3へ更新してください。URLの正規化や接続先チェックをしている場合は、更新後...

Node.js — CVE-2026-75975

Node.jsのfast-uriに、IPv6アドレスの書式チェックが不十分な問題があります。変な文字が混ざった入力でも、別の有効な接続先として扱われるおそれがあります。

2.4.5、3.1.6、4.1.3へ更新してください。URLの正規化や接続先制限を使っている場合は、更新後に...

Node.js — CVE-2026-75931

Node.jsのfast-uriに、同じURLでも書き方で別の宛先として扱われる問題があります。確認した宛先と、実際に接続される宛先がずれるおそれがあります。

2.4.5、3.1.6、4.1.3へ更新してください。URLの許可リストを使っている場合は、更新後に判定のズ...

Node.js — CVE-2026-75899

Node.jsのfast-uriに、%記号の扱いを二重に処理してしまう問題があります。入力したURLと、実際に使われる接続先が変わるおそれがあります。

2.4.5、3.1.6、4.1.3へ更新してください。URLの正規化やリダイレクト確認をしている場合は、あわ...

Node.js — CVE-2026-63421

Node.js の Keystone に、取得件数の制限をすり抜けて多くのデータを返せる問題があります。認証なしで大量の情報を取られたり、負荷が増えたりするおそれがあります。

Keystone を 6.5.3 以上へ更新してください。公開APIの制限を確認し、必要なら制作会社・保守会...

Node.js — CVE-2026-47683

Node.js向けのvm2で、メモリ使用量の制限が一部の処理で効かず、大きなメモリを消費させられる問題があります。攻撃者が負荷の高い処理を行うと、サーバーに大きな負担がかかります。

3.11.6へ更新してください。制限設定をしていても油断せず、利用箇所を確認して早めに対応しまし...

Node.js — CVE-2026-71553

ApostropheCMSで、記事更新の処理に不備があり、編集者が本来触れない共通設定を書き換えられる問題があります。これにより、同じサーバー上の動作全体に悪影響が出るおそれがあります。

修正版の有無を確認し、速やかに更新してください。編集権限の見直しも合わせて行いましょう。

Node.js — CVE-2026-73650

SVGをきれいにする処理で、名前空間付きのscript要素などが取り除かれないことがあります。細工されたSVGをそのまま公開すると、閲覧時にスクリプトが動くおそれがあります。

2.8.3、3.3.4、4.0.2のいずれか以降へ更新してください。外部から受け取ったSVGは、公開前に再確...

Node.js — CVE-2026-73566

特定の圧縮ファイルを読ませると、深すぎるパスをたどってしまい、エラーで処理が止まることがあります。ストリーミング処理中のNode.jsが落ちる可能性があります。

7.5.21へ更新してください。アップロードや展開にtarファイルを使う場合は、外部入力をむやみに...

Node.js — CVE-2026-73561

未認証のWebSocket接続が来るたびに、返信待ちのタイマーや要求情報が残りやすい問題があります。接続を繰り返されると、処理資源が増え続けます。

0.2.16へ更新してください。公開WebSocketサーバーなら、接続数制限や監視もあわせて行ってくだ...

Node.js — CVE-2026-73231

Fakerの偽データ作成機能に、細工した内容でJavaScriptを動かせる問題がありました。ブラウザーやNode.jsで使うと、意図しないコードを実行されるおそれがあります。

Fakerを10.5.0以降へ更新してください。開発用のライブラリでも、使っているプロジェクト全体で...

Node.js — CVE-2026-73089

Browserslistで、検索条件の結果をため続けてしまう問題があります。繰り返し不正な値を渡されると、メモリ使用量が増え続けます。

修正版の4.28.7へ更新してください。あわせて、外部からBrowserslistの入力値を受け取る仕組みが...