JVNDB-2026-031088

morgan projectのmorganにおける不適切なログ出力の無効化に関する脆弱性

morganはNode.js向けのHTTPリクエストロガーミドルウェアです。バージョン1.12.0未満では、ログトークンの値をエスケープする内部ヘルパーがUnicodeの改行区切り文字であるU+0085（Next Line）、U+2028（Line Separator）、およびU+2029（Paragraph Separator）を無効化していませんでした。認証されていないリモートクライアントは、例えばリモートユーザートークンを介して表出するBasic認証のユーザー名のような、攻撃者が制御可能なログトークンにこれらの文字を挿入することが可能であり、その結果、Unicodeに対応した下流のログ処理で単一のリクエストログが複数の論理レコードに分割されてしまいます。これはログ偽造の問題（CWE-117）であり、ASCII制御文字のみに対応したCVE-2026-5078の不完全な修正のフォローアップとなっています。この問題はmorgan 1.12.0で修正されており、エスケープ対象のセットにこれらのUnicode改行区切り文字が追加されました。問題を解決するために、morgan 1.12.0へのアップグレードを推奨します。

morgan project

• morgan 1.12.0 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
・当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。
・当該ソフトウェアは停止しません。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : morgan vulnerable to Log Forging via unescaped Unicode line separators  Advisory  expressjs/morgan  GitHub

Open JS Foundation

• Open JS Foundation : Security Advisories | OpenJS Foundation CVE Numbering Authority

1. 不適切なログ出力の無効化(CWE-117) [その他]

1. CVE-2026-15603

1. National Vulnerability Database (NVD) : CVE-2026-15603

• [2026年09月01日]
    掲載