JVNDB-2026-007832

Node.js Foundationのundiciにおける制限またはスロットリング無しのリソースの割り当てに関する脆弱性

これは抑制されていないリソース消費の脆弱性（CWE-400）であり、サービス拒否（DoS）を引き起こす可能性があります。脆弱なUndiciのバージョンでは、interceptors.deduplicate()が有効になっている場合、重複排除されたリクエストのレスポンスデータが下流ハンドラーのためにメモリに蓄積される可能性があります。攻撃者が制御する、または信頼できない上流エンドポイントは、大量またはチャンクされたレスポンスと同時に同一リクエストを利用してこれを悪用し、高いメモリ使用量およびプロセスのOOM（メモリ不足）による終了を引き起こすことが可能です。影響を受けるユーザーは、大量または長時間にわたるレスポンスボディを生成する可能性のあるエンドポイントに対してUndiciの重複排除インターセプターを使用しているアプリケーションです。対策として、レスポンスチャンクが到着するたびに下流ハンドラーにストリームとして渡し（全体のボディを蓄積しない）ように重複排除の動作を変更し、ボディストリーミングが開始された後の遅延重複排除を防止する修正を行いました。ユーザーはこの修正を含む最初の公式Undici（および該当する場合Node.js）リリースにアップグレードすべきです。

Node.js Foundation

• undici 7.17.0 以上 7.24.0 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
また、当該ソフトウェアが扱う情報について、書き換えは発生しません。
さらに、当該ソフトウェアが完全に停止する可能性があります。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Unbounded Memory Consumption in Undici's DeduplicationHandler via Response Buffering leads to DoS  Advisory  nodejs/undici  GitHub

Open JS Foundation

• Open JS Foundation : Security Advisories | OpenJS Foundation CVE Numbering Authority

1. 制限またはスロットリング無しのリソースの割り当て(CWE-770) [その他]

1. CVE-2026-2581

1. National Vulnerability Database (NVD) : CVE-2026-2581

• [2026年03月19日]
    掲載