JVNDB-2026-020895

Node.js FoundationのundiciにおけるCRLF インジェクションの脆弱性

影響: undiciのcookieパーサーであるparseSetCookieは、qsUnescapeを介してcookie値のパーセントデコードを行い、%0D%0A、%00、%3B、および%3Dのようなエンコードされたシーケンスを対応するバイト値に変換します。RFC 6265 §5.4ではデコードに関して指定されておらず、ブラウザもデコードしません。 Set-Cookieヘッダーを解析し、その解析結果の値をレスポンスヘッダーに転送するアプリケーション（プロキシ、ミドルウェア、SSRフレームワークなど）は、HTTPレスポンスヘッダーインジェクションの脆弱性を負います。攻撃者が制御する上流から任意のSet-Cookie、Location、Cache-Controlヘッダーをアプリケーションの下流のレスポンスに注入でき、セッションフィクセーション、オープンリダイレクト、キャッシュポイズニングを可能にします。 影響を受けるアプリケーションは、undiciのcookieパース(parseSetCookie、parseCookie、getSetCookies)を使用し、解析済みのcookie値をレスポンスヘッダーに転送するものです。 この脆弱性はundici 7.0.0でPR #3789により導入されました。 パッチ: undici v6.26.0、v7.28.0、またはv8.5.0にアップグレードしてください。 回避策: すぐにアップグレードできない場合は、parseSetCookie/parseCookie/getSetCookiesが返す値をそのままレスポンスヘッダーに転送せず、CR、LF、NUL、;、=のバイトを除去または拒否するよう値をサニタイズしてください。

Node.js Foundation

• undici 6.27.0 未満
• undici 7.0.0 以上 7.28.0 未満
• undici 8.0.0 以上 8.5.0 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
・当該ソフトウェアは停止しません。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : undici vulnerable to HTTP header injection via Set-Cookie percent-decoding  Advisory  nodejs/undici  GitHub

Open JS Foundation

• Open JS Foundation : Security Advisories | OpenJS Foundation CVE Numbering Authority

1. CRLF インジェクション(CWE-93) [その他]

1. CVE-2026-9679

1. National Vulnerability Database (NVD) : CVE-2026-9679

• [2026年06月26日]
    掲載