JVNDB-2026-026932

Node.js Foundationのundiciにおける複数の脆弱性

undici のキャッシュインターセプターは、qualified no-cache または private Cache-Control ディレクティブのイコール記号の周囲に配置された任意の空白文字を誤って処理します。undici のバージョン 7.0.0 から 7.29.0 未満および 8.0.0 から 8.9.0 未満では、パーサーがディレクティブを破棄するか、リテラルの引用符文字を含むフィールド名を保存するため、キャッシュ判定が修飾を認識できず、レスポンスがキャッシュに保存されてしまいます。共有キャッシュモードでは、この問題により、あるユーザーの認証済みデータを含むレスポンスが後の呼び出し元（認証されていない呼び出し元を含む）にキャッシュから提供される可能性があります。これは両方のリクエストが同じキャッシュキーに解決される場合に発生します。キャッシュインターセプターを共有モードで有効にし、Authorization ヘッダーを上流に転送し、イコール記号の周囲に空白を含む修飾付きディレクティブを含むキャッシュ可能なレスポンスを受け取るアプリケーションに影響を及ぼします。これは CVE-2026-9678 の修正で正規化されなかった空白文字付きイコールの変種であり、undici 7.29.0 および 8.9.0 で修正されています。

Node.js Foundation

• undici 7.0.0 以上 7.29.0 未満
• undici 8.0.0 以上 8.9.0 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
・当該ソフトウェアが扱う情報について、書き換えは発生しません。
・当該ソフトウェアは停止しません。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : undici vulnerable to cross-user information disclosure via whitespace around equals in Cache-Control directives  Advisory  nodejs/undici  GitHub

Open JS Foundation

• Open JS Foundation : Security Advisories | OpenJS Foundation CVE Numbering Authority

1. 解釈の競合(CWE-436) [その他]
2. 重要な情報を含むキャッシュの使用(CWE-524) [その他]

1. CVE-2026-14643

1. National Vulnerability Database (NVD) : CVE-2026-14643

• [2026年08月05日]
    掲載