JVNDB-2025-026112

NestJSにおけるTime-of-check Time-of-use (TOCTOU) 競合状態の脆弱性

NestはスケーラブルなNode.jsサーバーサイドアプリケーションを構築するためのフレームワークです。バージョン11.1.11より前にはFastifyのURLエンコーディングミドルウェアのバイパスに関する脆弱性が存在します。NestJSアプリケーションは、`@nestjs/platform-fastify`を使用し、セキュリティチェック（認証、認可など）のために`NestMiddleware`（`MiddlewareConsumer`経由）や`app.use()`を利用して、文字列パスやコントローラー（例：`.forRoutes('admin')`）で特定のルートにミドルウェアを適用している場合に脆弱性が発生します。この脆弱性が悪用されると、認証されていないユーザーが保護されたルートにアクセスできるようになったり、権限の低いユーザーがアクセス制限された管理用エンドポイントにアクセスしたり、ミドルウェアによるサニタイズやバリデーションがスキップされたりする可能性があります。この問題は`@nestjs/platform-fastify@11.1.11`で修正されています。

NestJS

• NestJS 11.1.11 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
さらに、当該ソフトウェアは停止しません。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub Advisory Database : Fastify URL Encoding Middleware Bypass (TOCTOU)   Advisory  nestjs/nest  GitHub

1. Time-of-check Time-of-use (TOCTOU) 競合状態(CWE-367) [その他]

1. CVE-2025-69211

1. National Vulnerability Database (NVD) : CVE-2025-69211
2. 関連文書 : fix(platform-fastify): middie bypassing through decoded chars  nestjs/nest@c4cedda  GitHub

• [2026年02月24日]
    掲載