JVNDB-2026-011090

UnJS TeamのUnheadにおける不完全なブラックリストに関する脆弱性

Unheadはドキュメントヘッドおよびテンプレートマネージャーです。2.1.13より前のバージョンでは、useHeadSafe()はNuxtの公式ドキュメントでユーザー提供のコンテンツをhead内で安全にレンダリングするために明示的に推奨されているコンポーザブルです。内部では、packages/unhead/src/plugins/safe.tsにあるhasDangerousProtocol()関数が、ブロックされたURIスキーム（javascript:, data:, vbscript:）をチェックする前にHTMLエンティティをデコードします。このデコーダーは固定幅の数字キャップを持つ2つの正規表現を使用していますが、HTML5仕様では数値文字参照の先頭ゼロに制限はありません。パディングされたエンティティが正規表現の数字キャップを超える場合、デコーダーはそれを黙ってスキップします。未デコードの文字列がstartsWith('javascript:')に渡されますが、一致しません。makeTagSafe()はその生の値を直接SSRのHTML出力に書き込みます。ブラウザのHTMLパーサーはパディングされたエンティティをネイティブにデコードし、ブロックされたURIを構築します。この脆弱性は2.1.13で修正されました。

UnJS Team

• Unhead 2.1.13 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う情報の一部が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。
さらに、当該ソフトウェアは停止しません。
そして、この脆弱性を悪用した攻撃により、他のソフトウェアにも影響が及ぶ可能性があります。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : hasDangerousProtocol() bypass via leading-zero padded HTML entities in useHeadSafe()  Advisory  unjs/unhead  GitHub

1. 不完全なブラックリスト(CWE-184) [その他]

1. CVE-2026-39315

1. National Vulnerability Database (NVD) : CVE-2026-39315
2. 関連文書 : Release v2.1.13  unjs/unhead  GitHub
3. 関連文書 : Merge commit from fork  unjs/unhead@961ea78  GitHub

• [2026年04月16日]
    掲載