JVNDB-2026-039009

Node.js Foundationのundiciにおける複数の脆弱性

undiciはNode.js用のHTTPクライアントライブラリです。バージョン7.0.0から7.30.0および8.0.0から8.12.1において、オリジンレスのAgentがリダイレクトインターセプターとキャッシュインターセプターをその順序で共有キャッシュストアと共に構成すると、キャッシュはリダイレクトハンドラーがオリジンを変更する前の元のリクエストURLからキーを生成します。そのため、クロスオリジンリダイレクト後に生成されたレスポンスが元のキーでキャッシュに保存されてしまいます。信頼されたURLからのリダイレクト先を攻撃者が制御すると、その攻撃者のレスポンスが信頼されたURLの下にキャッシュされ、後の呼び出しに対して提供されることで、永続的なキャッシュポイズニングを引き起こす可能性があります。同様のキーの混乱により、プライベートで保存されていないリダイレクトレスポンスがユーザー固有のリソースに対して元のURLの下に保存され、その後認証されていない呼び出し元に提供される結果、プライベートデータが漏洩します。この問題は、オリジンレスAgent、共有キャッシュストア、およびリダイレクト→キャッシュの構成がすべて使用されている場合にのみ影響します。問題はundici 7.30.1および8.12.2で修正されており、キャッシュキーに対応する生成元オリジンの整合性を検証し、各リダイレクトホップのキャッシュ制御ポリシーを保持した上で保存します。ユーザーはこれらのバージョン以降にアップグレードすることが推奨されます。回避策としては、キャッシュインターセプターをリダイレクトインターセプターの前に構成すること、オリジンごとのディスパッチャーとキャッシュストアを使用すること、またはリダイレクト可能なリクエストで共有キャッシュを無効にすることが推奨されます。

Node.js Foundation

• undici 7.0.0 以上 7.30.1 未満
• undici 8.0.0 以上 8.12.2 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
・当該ソフトウェアは停止しません。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : undici vulnerable to cache poisoning and cross-user disclosure via cross-origin redirects  Advisory  nodejs/undici  GitHub

Open JS Foundation

• Open JS Foundation : Security Advisories | OpenJS Foundation CVE Numbering Authority

1. 同一生成元ポリシー違反(CWE-346) [その他]
2. 重要な情報を含むキャッシュの使用(CWE-524) [その他]

1. CVE-2026-109829

1. National Vulnerability Database (NVD) : CVE-2026-109829

• [2026年10月20日]
    掲載