CVE-2024-29041 in Express.js
要約
〜によって VulDB • 2026年06月18日
Node.js向けのミニマリストなWebフレームワークであるExpress.js。Express.jsの4.19.0より前のバージョンおよび5.0のすべてのプレリリース版（alphaおよびbeta）は、不正なURLを使用したオープンリダイレクトの脆弱性の影響を受けます。Expressのユーザーがユーザー提供のURLを使用してリダイレクトを実行すると、Expressは`location`ヘッダーに渡す前に、`encodeurl`（https://github.com/pillarjs/encodeurl）を使用して内容をエンコードします。これにより、Expressアプリケーション内の一般的なリダイレクト許可リスト実装によって不正なURLが予期しない方法で評価され、適切に実装された許可リストのバイパスを通じてオープンリダイレクトが発生する可能性があります。影響を受ける主なメソッドは`res.location()`ですが、これは`res.redirect()`内部からも呼び出されます。この脆弱性は4.19.2および5.0.0-beta.3で修正されています。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.