JVNDB-2026-026930

Node.js FoundationのundiciにおけるCRLF インジェクションの脆弱性

undici は、HTTP/1.1 ディスパッチャーで Content-Type ヘッダーとして使用する前に、ダックタイプのブロブに似たリクエストボディの type プロパティを検証しません。undici の 6.28.0 より前のバージョン、7.0.0 から 7.29.0 より前のバージョン、および 8.0.0 から 8.9.0 より前のバージョンでは、手作りのブロブに似たボディ（request、stream、pipeline、または dispatch 経由）を渡し、その type が信頼できない入力から派生しているアプリケーションは、攻撃者が CRLF シーケンスを注入して任意の HTTP ヘッダーを追加し、アップストリームを通過する第 2 のリクエストを密輸できる可能性があります。ネイティブの Blob オブジェクトは、そのコンストラクターが type から CRLF を除去するため安全であり、fetch はヘッダーを検証するため影響を受けませんが、ユーザー入力からダックタイプのブロブ形状を構築するエコシステムのライブラリは脆弱な経路に到達する可能性があります。これは、CVE-2022-35948 および CVE-2026-1527 と同じ欠陥クラスに属し、以前の修正ではカバーされなかったヘッダーシンクに関する問題です。この問題は undici の 6.28.0、7.29.0、および 8.9.0 で修正されています。

Node.js Foundation

• undici 6.28.0 未満
• undici 7.0.0 以上 7.29.0 未満
• undici 8.0.0 以上 8.9.0 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報の一部が外部に漏れる可能性があります。
・当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。
・当該ソフトウェアは停止しません。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : undici vulnerable to CRLF Injection via blob-like body 'type' property  Advisory  nodejs/undici  GitHub

Open JS Foundation

• Open JS Foundation : Security Advisories | OpenJS Foundation CVE Numbering Authority

1. CRLF インジェクション(CWE-93) [その他]

1. CVE-2026-15157

1. National Vulnerability Database (NVD) : CVE-2026-15157

• [2026年08月05日]
    掲載