Node.jsの脆弱性情報

Node.js — CVE-2026-116693

Node.js向けのdd-traceで、細工したURLにより処理が重くなる問題です。アクセスを受けるたびにCPUを使いすぎて、動作が遅くなったり止まったりするおそれがあります。

dd-traceを5.131.1または6.20.1以降に更新してください。更新までの間は、外部からの不審なURLア...

Node.js — CVE-2026-116576

Node.js向けのライブラリで、外部から渡されたサービス名の扱いに問題があります。Windows環境では、特定の文字を使うと本来想定しない命令が実行されるおそれがあります。

5.33.16 へ更新してください。自社のアプリがこのライブラリに入力を渡していないか、制作会社・...

Node.js — CVE-2026-115930

mongosh が使う Node.js に、信頼する証明書の保存内容に問題があります。古い内容が残っているため、正しくない証明書を信頼してしまうおそれがあります。

mongosh を 2.14.0 へ更新してください。npm で入れている場合は、ホスト側の Node.js も別途更...

Node.js — CVE-2026-106069

IPアドレスの書き方によって、接続先と証明書の確認先がずれる問題があります。見た目が少し違う数字の書き方で、別の相手を正しいと判定することがあります。

Node.js 26.x、24.x、22.x の修正版へ更新してください。IPアドレスを使う通信があるサービスは...

Node.js — CVE-2026-105482

文字列の中にNUL文字（見えない区切り文字）が入ると、DNSの確認が途中で切れてしまう問題があります。別の名前として扱われるはずの相手を、そのまま調べてしまいます。

Node.js 26.x、24.x、22.x の修正版へ更新してください。ドメインの許可リストで確認してから名...

Node.js — CVE-2026-105483

全角数字などの文字を使ったIPアドレス表記で、証明書の確認が正しく行われない問題があります。IPアドレスとして扱うべき相手を、別の名前として見てしまいます。

Node.js 26.x、24.x の修正版へ更新してください。IPアドレスを文字で受け取る仕組みがある場合...

Node.js — CVE-2026-113872

Node.js用のファイルアップロード部品multerに、特定の条件で動作が止まる問題があります。非同期の条件判定を使っていると、1回のリクエストでアプリが落ちることがあります。

multerを2.5.0以上へ更新してください。すぐに更新できない場合は、非同期ではないfileFilterに...

Node.js — CVE-2026-111181

Node.jsとExpressで使うbody-parserに、圧縮された送信データの扱いで問題があります。特定のリクエストを受けると、アプリがエラー終了するおそれがあります。

body-parserを2.4.0または1.20.9へ更新してください。更新までの間は、圧縮データの受付を無効に...

Node.js — CVE-2026-114144

Node.js向けのtoml-nodeで、極端に長いデータを読むと処理が重くなる不具合です。1つのファイルだけで、他の処理まで止まりやすくなります。

toml-nodeを5.0.1へ更新してください。外部から受け取るTOMLファイルの扱いを見直し、必要なら入...

Node.js — CVE-2026-114142

特定の TOML の書き方を使うと、プログラムの共通の設定部分に攻撃者の値が入り込むおそれがあります。ほかのオブジェクトにも影響し、想定外の動作を起こす可能性があります。

toml-node を 5.0.1 に更新してください。TOML を外部から受け取る処理がある場合は、更新まで入...

Node.js — CVE-2026-114143

長いキー名や階層の深い TOML を読むと、同じ処理を何度も繰り返してしまいます。処理が重くなり、メモリを使い切って止まることもあります。

toml-node を 5.0.1 に更新してください。長い設定ファイルを扱う機能がある場合は、更新後に負...

Node.js — CVE-2026-114141

toml-node が特定の TOML ファイルを処理すると、同じような見出しが大量にあるだけで極端に重い処理が発生します。その結果、Node.js の動きが止まり、他の処理が進まなくなるおそれがあります。

toml-node を 5.0.1 に更新してください。自作や外部連携で TOML を読み込んでいる場合は、更新...

Node.js — CVE-2026-113711

ApostropheCMSで、ログイン前の人でもアップロード準備などの処理を進められる問題です。あとから確認で止められますが、不要な処理が先に動いてしまいます。

ApostropheCMSを使っている場合は、4.33.0へ更新してください。import-exportモジュールも3.7.0...

Node.js — CVE-2026-113666

ApostropheCMSで、特定の編集権限を持つ人が不適切なデータを送ると、共有部分が壊れるおそれがある問題です。SQLiteやPostgreSQLなどの一部構成で、動作停止につながる可能性があります。

db-connectを1.1.0へ、ApostropheCMSを4.33.0へ更新してください。SQLite、PostgreSQL、multipos...

Node.js — CVE-2026-111756

follow-redirectsで、リダイレクト先が変わったときに認証情報を消し忘れる場合がある問題です。特定のヘッダー形式を使うと、別のサイトへ情報が送られるおそれがあります。

follow-redirectsを1.16.1へ更新してください。外部から来るリダイレクト先をそのまま信用せず、...

Node.js — CVE-2026-113658

公開のCSV変換機能で、受け取ったファイルを先に一時保存してから確認するため、不要なファイルが残ることがあります。大きなファイルを繰り返し送られると、一時ディスクが埋まりやすくなります。

ApostropheCMSを4.33.0へ更新してください。公開の変換機能が不要なら停止し、アップロード容量...

Node.js — CVE-2026-112942

Windows のファイル指定で、存在確認の前後の処理にずれがあり、実在しない名前でも通してしまう問題です。別の不具合と組み合わさると、コマンド実行につながります。

launch-editor を 2.14.2 へ更新してください。middleware を使う構成なら、Windows 向けの入力...

Node.js — CVE-2026-111755

リダイレクト先をたどる処理で、特定のヘッダー名の判定がうまく働かず、認証情報が別のサイトへ送られることがあります。条件がそろうと、意図しない相手に機密情報が渡るおそれがあります。

follow-redirects を 1.16.1 へ更新してください。Node.js アプリでこのライブラリを使っている...

Node.js — CVE-2026-87018

TLS 1.2 の再交渉時に、証明書の確認処理が想定外の例外を起こす問題があります。悪意のある HTTPS サーバーに接続すると、Node.js の処理が止まることがあります。

undici を 6.29.1、7.30.1、8.12.2 以降へ更新してください。TLS 1.2 を使う接続があるか確認し...