JVNDB-2026-022262

fastifyのFastify/middieにおけるキャッチされない例外に関する脆弱性

@fastify/middie のバージョン9.1.0から9.3.2までは、受信リクエストパスに不正なパーセントエンコードシーケンスが含まれている場合に、スタンドアロンエンジンで使用されるURL正規化ステップを適切に保護できませんでした。例えば、不完全なパーセントエスケープや切り捨てられたマルチバイトシーケンスの入力は、基盤となるデコーダが同期的に例外をスローし、その例外がmiddieの正規化ステップを通過してNode.jsプロセスを終了させてしまいます。このバイパスは、スタンドアロンエンジンAPIで直接middie.runを呼び出すアプリケーションに影響を及ぼし、再起動まで接続中のすべてのクライアントに対して即時のサービス拒否を引き起こします。Fastifyプラグインのパスを使用するアプリケーションについては、Fastifyのエラーハンドラーが例外を捕捉するため影響を受けません。修正方法としては、@fastify/middieを9.3.3にアップグレードしてください。回避策としては、スタンドアロンエンジンAPIからFastifyプラグインのパスへ移行し、フレームワークのエラーハンドラーが例外を捕捉するようにしてください。

fastify

• Fastify/middie 9.1.0 以上 9.3.3 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
・当該ソフトウェアが扱う情報について、書き換えは発生しません。
・当該ソフトウェアが完全に停止する可能性があります。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : @fastify/middie standalone engine vulnerable to Denial of Service via malformed percent-encoded paths  Advisory  fastify/middie  GitHub

Open JS Foundation

• Open JS Foundation : Security Advisories | OpenJS Foundation CVE Numbering Authority

1. キャッチされない例外(CWE-248) [その他]

1. CVE-2026-14181

1. National Vulnerability Database (NVD) : CVE-2026-14181

• [2026年07月06日]
    掲載