JVNDB-2026-011788

pillarjsのPath-to-RegExpにおける非効率的な正規表現の複雑さに関する脆弱性

影響：単一のセグメント内に3つ以上のパラメータがあり、それらがピリオド（.）以外の文字で区切られている場合、誤った正規表現が生成されます。例えば、/:a-:b-:c や /:a-:b-:c-:d のようなパターンが該当します。path-to-regexp@0.1.12で追加されたバックトラック保護は2つのパラメータのあいまいさを防止するのみであり、3つ以上の場合は生成されるルックアヘッドが単一の区切り文字をブロックせず、キャプチャグループが重なり合って破滅的なバックトラッキングを引き起こします。修正方法としては、path-to-regexp@0.1.13にアップグレードしてください。ルート定義にカスタム正規表現パターンを使用している場合（例：/:a-:b([^-/]+)-:c([^-/]+)）、デフォルトのキャプチャグループを上書きしているため影響を受けません。回避策は、すべてのバージョンに対して単一セグメント内の最初のパラメータ以降にカスタム正規表現を提供することでパッチ適用が可能です。カスタム正規表現がパラメータ前のテキストにマッチしなければ安全です。例えば、/:a-:b-:c を /:a-:b([^-/]+)-:c([^-/]+) に変更してください。パスを書き換えできずバージョンアップもできない場合には、URLの長さを制限する方法もあります。

pillarjs

• Path-to-RegExp 0.1.13 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
また、当該ソフトウェアが扱う情報について、書き換えは発生しません。
さらに、当該ソフトウェアが完全に停止する可能性があります。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

Open JS Foundation

• Open JS Foundation : Security Advisories | OpenJS Foundation CVE Numbering Authority

1. 非効率的な正規表現の複雑さ(CWE-1333) [その他]

1. CVE-2026-4867

1. National Vulnerability Database (NVD) : CVE-2026-4867
2. 関連文書 : ReDoS the web  Blake Embrey

• [2026年04月20日]
    掲載