JVNDB-2026-020947

chimuraiのhttp-proxy-middlewareにおけるCRLF インジェクションの脆弱性

http-proxy-middlewareはNode.jsのhttp-proxyミドルウェアです。バージョン3.0.4から3.0.7および4.1.1まで、fixRequestBody()はボディパーサーによって既に消費されたリクエストボディを再送信するためのライブラリのドキュメント化されたヘルパーです。送信されるContent-Typeがmultipart/form-dataの場合、handlerFormDataBodyData()を使ってボディを再構築しますが、これは各req.bodyのキーと値をCR/LFを無効化せずにマルチパートのワイヤ形式に直接埋め込みます。値（またはキー）内の\r\nは攻撃者に現在のパートを閉じ、新しいフォームパートを完全に注入させることを可能にします。プロキシ自身のボディパーサーは単一の不透明な値を認識したため、ゲートウェイ側でreq.bodyに対して行われるポリシーや検証はアップストリームのバックエンドが最終的に解析するフィールドセットとは異なり、信頼境界を越えたリクエストやパラメータの非同期化が発生します。この脆弱性はバージョン3.0.7および4.1.1で修正されています。

chimurai

• http-proxy-middleware 3.0.4 以上 3.0.7 未満
• http-proxy-middleware 4.0.0 以上 4.1.1 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報の一部が外部に漏れる可能性があります。
・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
・当該ソフトウェアは停止しません。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : multipart/form-data field injection via unescaped CRLF in `fixRequestBody`  Advisory  chimurai/http-proxy-middleware  GitHub

1. CRLF インジェクション(CWE-93) [その他]

1. CVE-2026-55603

1. National Vulnerability Database (NVD) : CVE-2026-55603

• [2026年06月26日]
    掲載