JVNDB-2026-026929

Node.js FoundationのundiciにおけるHTTP リクエストスマグリングに関する脆弱性

undiciのリトライインターセプターは、リトライや部分レスポンスの再開後に、アプリケーションに公開されるContent-Lengthヘッダーと一致しないボディ長のレスポンスを返す可能性があります。undiciのバージョン6.28.0未満、7.0.0から7.29.0未満、および8.0.0から8.9.0未満では、悪意のあるまたは不具合のある上流が不一致のフレーミングヘッダーを持つ部分レスポンスを返し、ソケットを早期に閉じることで、リトライインターセプターが元のContent-Lengthをそのままにして異なる長さのボディを組み立てる場合があります。リトライインターセプターを使用し、上流のヘッダーとボディを下流へ転送するアプリケーション（プロキシやゲートウェイなど）は、古いContent-Lengthを持つ無効なHTTPレスポンスを送出し、下流でレスポンスの同期ずれや接続ハング、レスポンス破損を引き起こす可能性があります。悪用にはリトライインターセプターの有効化、不一致の部分レスポンスを返す上流、およびContent-Lengthを削除または再計算しない下流転送者が必要です。この問題はundiciの6.28.0、7.29.0、8.9.0で修正されています。

Node.js Foundation

• undici 6.28.0 未満
• undici 7.0.0 以上 7.29.0 未満
• undici 8.0.0 以上 8.9.0 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
・当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。
・当該ソフトウェアの一部が停止する可能性があります。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : undici vulnerable to downstream response desynchronization via retry interceptor  Advisory  nodejs/undici  GitHub

Open JS Foundation

• Open JS Foundation : Security Advisories | OpenJS Foundation CVE Numbering Authority

1. HTTP リクエストスマグリング(CWE-444) [その他]

1. CVE-2026-16728

1. National Vulnerability Database (NVD) : CVE-2026-16728

• [2026年08月05日]
    掲載