JVNDB-2026-015524

Inngestにおける複数の脆弱性

Inngestは、キューイング、リトライ、ステップオーケストレーションを備えたイベント駆動およびスケジュールされたバックグラウンド関数を実行するためのプラットフォームです。バージョン3.22.0から3.53.1にかけて、認証されていないリモート攻撃者がserve() HTTPハンドラーを介してホストプロセスの環境変数を流出させる脆弱性が含まれていました。serve()ハンドラーはGET、POST、PUTメソッドを実装しています。PATCH、OPTIONS、DELETEを使用したリクエストは、診断情報を返す一般的なハンドラーにフォールスルーします。バージョン3.22.0で導入された変更により、この診断応答にprocess.envの内容が含まれるようになり、環境内の秘密情報、APIキー、資格情報が露出しました。serve()エンドポイントがPATCH、OPTIONS、DELETEリクエストで到達可能なアプリケーションは脆弱であり、これはNext.js Pages RouterやExpressのapp.use(...)のようなセットアップで一般的です。GET、POST、PUTのみをエクスポートするNext.js App Routerハンドラーや、connect workerメソッドを使用するアプリケーションには影響がありません。この問題はバージョン3.54.0で修正されています。すぐにアップグレードできない場合の回避策としては、フレームワークまたはリバースプロキシ層でserve()エンドポイントをGET、POST、PUTのみ受け付けるように制限してください。Inngestのserve()エンドポイントは他のHTTPメソッドを必要としません。

Inngest

• Inngest 3.22.0 以上 3.54.0 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う情報について、書き換えは発生しません。
さらに、当該ソフトウェアは停止しません。
そして、この脆弱性を悪用した攻撃により、他のソフトウェアにも影響が及ぶ可能性があります。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Inngest TypeScript SDK exposes environment variables via serve() handler on unhandled HTTP methods  Advisory  inngest/inngest-js  GitHub

1. 情報漏えい(CWE-200) [その他]
2. 認可されていない制御領域への重要情報の漏えい(CWE-497) [その他]

1. CVE-2026-42047

1. National Vulnerability Database (NVD) : CVE-2026-42047
2. 関連文書 : Release inngest@3.54.1  inngest/inngest-js  GitHub

• [2026年05月15日]
    掲載