JVNDB-2026-029080

Wojtek MachのReqにおけるCRLF インジェクションの脆弱性

wojtekmach Req の CRLFインジェクション脆弱性により、攻撃者は影響を受けるパートのメタデータを介してマルチパートパラメータの偽装を行うことが可能です。Req.Utils.encode_form_part/2 は lib/req/utils.ex 内で、呼び出し元が提供した name、filename、content_type の値をエスケープ処理や CRLF の除去を行わずに、そのまま content-disposition および content-type 行に埋め込み、パートごとのヘッダを構築します。値にダブルクォーテーション、CR、または LF が含まれる場合、周囲の引用符付き値を閉じて新しいヘッダ行を開始します。さらに、CRLF --＜boundary＞ によって現在のパートが終端され、攻撃者が選択した偽装パートを先頭に付け替えます。これは、パートを提供するすべてのサポートされている方法を介して到達可能です。値が %File.Stream{} の場合には特に容易であり、ファイル名はデフォルトで Path.basename(stream.path) となり、POSIX ファイル名には実際に CR や LF が含まれることがあります。ユーザーが制御するファイル名（またはフィールド名／MIME タイプ）を Req.post/2 の form_multipart: を介して転送する任意のアプリケーションは、送出されるマルチパート本体に任意のヘッダを挿入したり、被害サービスが下流へ送るリクエストに追加のフィールドやパートを偽装して挿入したりすることが可能です。この問題は req のバージョン 0.5.3 以上 0.6.0 未満に影響します。

Wojtek Mach

• Req 0.5.3 以上 0.6.0 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
・当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。
・当該ソフトウェアは停止しません。

ベンダ情報を参照して適切な対策を実施してください。

Erlang Ecosystem Foundation

• Erlang Ecosystem Foundation : CVE-2026-49756

GitHub

• GitHub : Multipart form-data header injection via unescaped name/filename/content_type  Advisory  wojtekmach/req  GitHub

Open Source Vulnerabilities

• Open Source Vulnerabilities : EEF-CVE-2026-49756 - OSV

1. CRLF インジェクション(CWE-93) [その他]

1. CVE-2026-49756

1. National Vulnerability Database (NVD) : CVE-2026-49756
2. 関連文書 : `encode_body`: Security fix for `:form_multipart` header injection  wojtekmach/req@74506ff  GitHub

• [2026年08月20日]
    掲載