JVNDB-2026-021115

Node.js Foundationのundiciにおける同一生成元ポリシー違反に関する脆弱性

影響: Socks5ProxyAgentを使用する際、undiciは接続プールのオリジンが要求されたオリジンと一致するかどうかを検証せず、異なるオリジン間で単一の接続プールを再利用します。すべてのリクエストは、意図された宛先に関係なく、最初のオリジンに接続されたプールを通じて送信されます。これによりクロスオリジンリクエストのルーティングが発生します。具体的には、オリジンB用の認証情報やリクエストデータがオリジンAに送信され、誤ったオリジンからの応答が信頼され、HTTPSリクエストが静かにHTTPにダウングレードされる可能性があります。影響を受けるユーザーは、Socks5ProxyAgent（直接またはsetGlobalDispatcher経由）を使用し、複数のオリジンへリクエストを行うアプリケーションを使用している方々です。これはundici 7.23.0でPR #4385により導入され、8.1.0までのすべてのバージョンに影響を与えます。修正方法としては、undici v7.26.0またはv8.2.0へアップグレードしてください。回避策としては、オリジンごとに別のSocks5ProxyAgentインスタンスを使用するか、複数のオリジンでSocks5ProxyAgentを使用しないことを推奨します。

Node.js Foundation

• undici 7.23.0 以上 7.28.0 未満
• undici 8.0.0 以上 8.2.0 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
・当該ソフトウェアが完全に停止する可能性があります。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : undici vulnerable to cross-origin request routing via SOCKS5 proxy pool reuse  Advisory  nodejs/undici  GitHub

Open JS Foundation

• Open JS Foundation : Security Advisories | OpenJS Foundation CVE Numbering Authority

1. 同一生成元ポリシー違反(CWE-346) [その他]

1. CVE-2026-6734

1. National Vulnerability Database (NVD) : CVE-2026-6734

• [2026年06月29日]
    掲載