JVNDB-2026-006375

Underscore.jsのUnderscoreにおける制限またはスロットリング無しのリソースの割り当てに関する脆弱性

Underscore.jsはJavaScriptのユーティリティベルトライブラリです。バージョン1.13.8以前では、_.flattenおよび_.isEqual関数が深さ制限なしで再帰を使用していました。以下に詳細を示す非常に特定の条件下で、攻撃者はこれを利用してサービス拒否（DoS）攻撃を引き起こすためにスタックオーバーフローを誘発する可能性があります。信頼できない入力を使用して、例えばJSON.parseを用いて、深さ制限が強制されていない再帰的なデータ構造を作成しなければなりません。作成されたデータ構造は_.flattenまたは_.isEqualに渡される必要があります。_.flattenの場合、リモートクライアントがすべてのレベルで配列のみから成るデータ構造を準備可能であり、かつ_.flattenに第二引数として有限の深さ制限が渡されない場合にのみ脆弱性が悪用可能です。_.isEqualの場合は、同じリモートクライアントによって送信された二つの異なるデータ構造が_.isEqualを用いて比較されるコードパスが存在する場合に限り脆弱性が悪用可能です。具体例としては、クライアントがデータベースに保存されるデータを送信し、同じクライアントが後に別のデータ構造を送信して以前保存されたデータと比較する場合、または単一リクエストであってもデータが二度解析され、二つの非同一ながら等価なデータ構造が作成され比較される場合などがあります。スタックオーバーフローによる_.flattenまたは_.isEqualの呼び出しから発生する例外は捕捉されていません。この脆弱性はバージョン1.13.8で修正されています。

Underscore.js

• Underscore 1.13.8 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
また、当該ソフトウェアが扱う情報について、書き換えは発生しません。
さらに、当該ソフトウェアが完全に停止する可能性があります。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Unlimited recursion in _.flatten and _.isEqual, potential for DoS attack  Advisory  jashkenas/underscore  GitHub

1. 制限またはスロットリング無しのリソースの割り当て(CWE-770) [その他]

1. CVE-2026-27601

1. National Vulnerability Database (NVD) : CVE-2026-27601
2. 関連文書 : Make _.isEqual nonrecursive  jashkenas/underscore@a6e23ae  GitHub
3. 関連文書 : Make internal flatten nonrecursive  jashkenas/underscore@411e222  GitHub

• [2026年03月09日]
    掲載