JVNDB-2026-027067

Node.js Foundationのundiciにおけるインジェクションに関する脆弱性

undiciのsetCookie関数は、クッキー属性を完全にサニタイズしていません。undiciのバージョン6.28.0未満、7.0.0から7.29.0未満、および8.0.0から8.9.0未満では、ドメイン値にセミコロンが含まれていないかどうかのチェックがされず、未解析配列のエントリもサニタイズされないため、攻撃者が影響を与えた入力によって追加のクッキー属性を注入される可能性があります。例えば、セミコロンを含むドメイン値はSameSiteなどの属性を付加でき、未解析のエントリは呼び出し元が設定していないHttpOnlyなどの属性を注入することが可能です。マルチテナントやリバースプロキシサーバーのように、ユーザー制御の入力をこれらのフィールドに渡してテナント提供のドメインにセッションクッキーをスコープするアプリケーションでは、SameSiteによるCSRF保護が回避されたり、Secure、HttpOnly、SameSite属性が強制的に設定されたり、除去・上書きされたりする可能性があります。この問題はundiciのバージョン6.28.0、7.29.0、および8.9.0で修正されています。

Node.js Foundation

• undici 6.28.0 未満
• undici 7.0.0 以上 7.29.0 未満
• undici 8.0.0 以上 8.9.0 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報の一部が外部に漏れる可能性があります。
・当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。
・当該ソフトウェアは停止しません。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : undici vulnerable to cookie attribute injection via unsanitized domain and unparsed setCookie fields  Advisory  nodejs/undici  GitHub

Open JS Foundation

• Open JS Foundation : Security Advisories | OpenJS Foundation CVE Numbering Authority

1. インジェクション(CWE-74) [その他]

1. CVE-2026-16729

1. National Vulnerability Database (NVD) : CVE-2026-16729

• [2026年08月06日]
    掲載