JVNDB-2026-023244

Immutable-jsのImmutableにおけるアルゴリズムの複雑さに関する脆弱性

Immutable.jsは多くの永続的な不変データ構造を提供しています。バージョン4.3.9および5.1.8より前のImmutable.MapおよびImmutable.Setは、同じ32ビットハッシュを共有するキーをHashCollisionNodeの衝突バケットに保持し、それを線形にスキャンします。このため、Immutable.Map(obj)、Immutable.fromJS(obj)、state.merge(userObject)、またはmergeDeepなどを通じてMapに挿入されるキーを攻撃者が制御できる場合には、多数の衝突するキーを作成し、挿入および検索処理のパフォーマンスを劣化させて過剰なCPU使用を引き起こすことが可能です。この問題はバージョン4.3.9および5.1.8で修正されています。

Immutable-js

• Immutable 4.3.9 未満
• Immutable 5.0.0 以上 5.1.8 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
・当該ソフトウェアが扱う情報について、書き換えは発生しません。
・当該ソフトウェアが完全に停止する可能性があります。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Hash-collision algorithmic complexity denial of service in Immutable.Map/Set  Advisory  immutable-js/immutable-js  GitHub

1. アルゴリズムの複雑性(CWE-407) [その他]

1. CVE-2026-59880

1. National Vulnerability Database (NVD) : CVE-2026-59880
2. 関連文書 : perf(Map): index large hash-collision buckets for faster lookups  immutable-js/immutable-js@e51d49f  GitHub
3. 関連文書 : Release v4.3.9  immutable-js/immutable-js  GitHub
4. 関連文書 : Release v5.1.8  immutable-js/immutable-js  GitHub
5. 関連文書 : perf(Map): index large hash-collision buckets for faster lookups  immutable-js/immutable-js@3dd7e56  GitHub

• [2026年07月13日]
    掲載