JVNDB-2026-034101

Node.js Foundationのundiciにおける複数の脆弱性

undiciのWebSocketクライアントは、クライアントが一度も要求していないサブプロトコルにサーバーが応答した場合、オープニングハンドシェイク中にNode.jsプロセス全体がクラッシュします。デフォルトのWebSocket接続ではサブプロトコルは送信されませんが、サーバーの101レスポンスにSec-WebSocket-Protocolヘッダーが含まれている場合、undiciは要求されたリストと照合する際にnull値を参照し、捕捉されないTypeErrorをスローします。このコードはエラーハンドリングのないマイクロタスク内で実行されるため、例外が伝播し、WebSocketプロトコルで要求されるような接続の優雅な失敗とはならず、Nodeのデフォルト挙動によりプロセスが終了します。攻撃者が制御または侵害したサーバー、もしくは中間者攻撃の対象となる平文接続に対してWebSocketを開くアプリケーションは、認証不要でリモートからデフォルト設定のままクラッシュさせることが可能です。この問題はundiciのバージョン6.7.0から6.28.1、7.0.0から7.29.1、および8.0.0から8.10.2に影響します。ユーザーはundiciを6.28.1、7.29.1、または8.10.2にアップグレードすべきです。

Node.js Foundation

• undici 6.7.0 以上 6.28.1 未満
• undici 7.0.0 以上 7.29.1 未満
• undici 8.0.0 以上 8.10.2 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
・当該ソフトウェアが扱う情報について、書き換えは発生しません。
・当該ソフトウェアが完全に停止する可能性があります。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : undici vulnerable to Denial of Service via unrequested WebSocket subprotocol  Advisory  nodejs/undici  GitHub

Open JS Foundation

• Open JS Foundation : Security Advisories | OpenJS Foundation CVE Numbering Authority

1. キャッチされない例外(CWE-248) [その他]
2. 未チェックの戻り値(CWE-252) [その他]

1. CVE-2026-19534

1. National Vulnerability Database (NVD) : CVE-2026-19534

• [2026年09月17日]
    掲載