JVNDB-2026-008360

Node.js FoundationのundiciにおけるHTTP リクエストスマグリングに関する脆弱性

Undiciは、配列で提供される際に大文字小文字が異なる名前（例：Content-Lengthとcontent-length）の重複したHTTP Content-Lengthヘッダーを許可します。これにより、複数の矛盾するContent-Length値を含む不正なHTTP/1.1リクエストが送信されます。影響を受ける対象は、undici.request()、undici.Clientまたは同様の低レベルAPIを使用し、ヘッダーをフラットな配列で渡すアプリケーション、および大文字小文字を正規化せずにユーザー制御のヘッダー名を受け入れるアプリケーションです。潜在的な影響には、サービス拒否（DoS）があります。これは厳密なHTTPパーサー（プロキシ、サーバー）が重複したContent-Lengthヘッダーを含むリクエストを拒否（400 Bad Request）するためです。また、HTTPリクエストスマグリングも発生する可能性があり、中間者とバックエンドが重複ヘッダーを異なる方法で解釈する（例：一方は最初の値を使用し、もう一方は最後の値を使用）環境においては、これによりリクエストスマグリング攻撃が可能となり、ACL回避、キャッシュ汚染、または資格情報のハイジャックが引き起こされる可能性があります。

Node.js Foundation

• undici 6.24.0 未満
• undici 7.0.0 以上 7.24.0 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
さらに、当該ソフトウェアが完全に停止する可能性があります。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Inconsistent Interpretation of HTTP Requests ('HTTP Request/Response Smuggling') in undici  Advisory  nodejs/undici  GitHub

Open JS Foundation

• Open JS Foundation : Security Advisories | OpenJS Foundation CVE Numbering Authority

1. HTTP リクエストスマグリング(CWE-444) [その他]

1. CVE-2026-1525

1. National Vulnerability Database (NVD) : CVE-2026-1525
2. 関連文書 : RFC 9110: HTTP Semantics
3. 関連文書 : CWE -    CWE-444: Inconsistent Interpretation of HTTP Requests ('HTTP Request/Response Smuggling') (4.19.1)

• [2026年03月24日]
    掲載