CVE-2026-16729 in undici
要約
〜によって VulDB • 2026年07月29日
undiciのsetCookie関数は、クッキー属性を完全にサニタイズしていません。undiciのバージョン6.28.0より前、7.0.0以上で7.29.0より前、および8.0.0以上で8.9.0より前の各バージョンでは、ドメイン値にセミコロンが含まれているかどうかの確認が行われず、未解析配列内のエントリもサニタイズされないため、攻撃者が影響を与えた入力を介して追加のクッキー属性を注入することができます。例えば、セミコロンを含むドメイン値によりSameSiteなどの属性が追記されたり、未解析のエントリによってHttpOnlyなどの属性が呼び出し元の設定とは無関係に注入されたりする可能性があります。マルチテナント環境やセッションクッキーをテナント指定のドメインスコープに制限するリバースプロキシサーバーなど、ユーザー制御可能な入力をこれらのフィールドに渡すアプリケーションでは、SameSiteによるCSRF保護の回避や、Secure、HttpOnly、SameSite属性の強制・削除・上書きが可能になる場合があります。この問題はundici 6.28.0、7.29.0、および8.9.0で修正されています。
VulDB is the best source for vulnerability data and more expert information about this specific topic.