| Title | Node.js FoundationのNode.jsにおける認可されていない行為者への個人情報の漏えいに関する脆弱性 |
|---|---|
| Summary | Node.jsのプロキシトンネルのエラー処理に欠陥があり、`ERR_PROXY_TUNNEL`エラーメッセージによってプロキシ認証情報が露出する可能性があります。プロキシURLに認証情報が埋め込まれている場合、エラー処理の過程でこれらが露出し、ログや診断、その他のエラー処理システムによって取得される可能性があります。この脆弱性は、サポートされているすべてのリリースライン、すなわち**Node.js 22**、**Node.js 24**、および**Node.js 26**に影響を及ぼします。 |
| Possible impacts | ・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。 ・当該ソフトウェアが扱う情報について、書き換えは発生しません。 ・当該ソフトウェアは停止しません。 |
| Solution | ベンダ情報を参照して適切な対策を実施してください。 |
| Publication Date | June 26, 2026, midnight |
| Registration Date | June 29, 2026, 11:15 a.m. |
| Last Update | June 29, 2026, 11:15 a.m. |
| CVSS3.0 : 重要 | |
| Score | 7.5 |
|---|---|
| Vector | CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N |
| Node.js Foundation |
| Node.js 22.22.3 |
| Node.js 24.16.0 |
| Node.js 26.3.0 |
| No | Changed Details | Date of change |
|---|---|---|
| 1 | [2026年06月29日] 掲載 |
June 29, 2026, 11:15 a.m. |
| Summary | A flaw in Node.js proxy tunnel error handling could expose proxy credentials in `ERR_PROXY_TUNNEL` error messages. When proxy credentials are embedded in the proxy URL, they may be exposed through error handling paths and captured by logs, diagnostics, or other error consumers. This vulnerability affects all supported release lines: **Node.js 22**, **Node.js 24**, and **Node.js 26**. |
|---|---|
| Publication Date | June 26, 2026, 11:16 a.m. |
| Registration Date | June 27, 2026, 4:32 a.m. |
| Last Update | June 27, 2026, 1:11 a.m. |