JVNDB-2026-008114

H3におけるスプーフィングによる認証回避に関する脆弱性

H3は最小限のHTTPフレームワークです。バージョン2.0.0-0から2.0.1-rc.14までには、NodeRequestUrl（FastURLを拡張したもの）におけるHostヘッダーのなりすまし脆弱性が含まれており、これによりミドルウェアのバイパスが可能です。loggingミドルウェアなどでevent.url、event.url.hostname、またはevent.url._urlにアクセスすると、_urlゲッターはユーザーが制御するHostヘッダーを含む信頼されていないデータからURLを構築します。H3のルーターはミドルウェアが実行される前にルートハンドラを解決するため、攻撃者は細工されたHostヘッダー（例：Host: localhost:3000/abchehe?）を送信してミドルウェアのパスチェックを失敗させつつルートハンドラのマッチングを維持し、認証または認可ミドルウェアを実質的にバイパスできます。この影響はevent.urlプロパティにアクセスする敏感なルートを保護するミドルウェアがあるH3（Nitro/Nuxtを含む）ベースのすべてのアプリケーションに及びます。この問題はFastURL.hrefがサニタイズされていない攻撃者制御の入力から構築されるのを防ぐ必要があり、即時の修正が求められます。バージョン2.0.1-rc.15には本問題の修正パッチが含まれています。

H3

• H3 2.0.0
• H3 2.0.1

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
さらに、当該ソフトウェアは停止しません。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Middleware bypass with one gadget  Advisory  h3js/h3  GitHub

1. スプーフィングによる認証回避(CWE-290) [その他]

1. CVE-2026-33131

1. National Vulnerability Database (NVD) : CVE-2026-33131

• [2026年03月23日]
    掲載