JVNDB-2026-039008

Node.js Foundationのundiciにおける大文字と小文字の区別の不適切な処理に関する脆弱性

undiciはNode.js用のHTTPクライアントライブラリです。バージョン7.15.0から7.30.0および8.0.0から8.12.1の間では、そのfetch()実装がSubresource Integrity（SRI）メタデータを検証する際に、アルゴリズムトークンを小文字のみのセットと照合しています。しかし、SRI仕様はトークンをASCII小文字形式で定義しているため、有効であっても大文字や混合ケースのSHA256のような非小文字トークンは未認識とされ、スキップされてしまいます。認識されるアルゴリズムがなくなると、undiciは整合性リストを空と見なし、レスポンスを許容します。そのため、固定されたダイジェストと一致しない本文を返すサーバにもチェックを通過させてしまいます。その結果、レスポンスボディのみを制御できる攻撃者は、有効な大文字または混合ケースのSRIトークンをピン留めしたアプリケーションに対し、整合性エラーなしで攻撃者制御のバイト列を配信でき、レスポンスの整合性に影響を与えます。この問題はundici 7.30.1および8.12.2で修正されており、検証前にアルゴリズムトークンをASCII小文字に正規化します。ユーザーはこれらのバージョンまたはそれ以降へのアップグレードを推奨します。回避策としては、整合性メタデータ内でsha256、sha384、sha512などの小文字のアルゴリズムトークンを使用することを推奨します。

Node.js Foundation

• undici 7.15.0 以上 7.30.1 未満
• undici 8.0.0 以上 8.12.2 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
・当該ソフトウェアは停止しません。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : undici vulnerable to Subresource Integrity bypass via non-lowercase algorithm tokens  Advisory  nodejs/undici  GitHub

Open JS Foundation

• Open JS Foundation : Security Advisories | OpenJS Foundation CVE Numbering Authority

1. 大文字と小文字の区別の不適切な処理(CWE-178) [その他]

1. CVE-2026-109841

1. National Vulnerability Database (NVD) : CVE-2026-109841

• [2026年10月20日]
    掲載