脆弱性の一覧へ戻る
編集部の見出し：undici：redirectとshared cacheの併用によるキャッシュ汚染（7.4）
NVD の情報
undici is an HTTP client for Node.js. In versions 7.30.1 and 8.12.2 through 8.12.3, when an originless Agent composes the redirect and shared cache interceptors, undici decides whether to store the final response under the original request key by inspecting only the final redirect hop, which bypasses the earlier fix for CVE-2026-109829 that compared only the initial and final origins. A redirect that bounces through an untrusted origin and returns to the trusted origin is still cached under the trusted key, an intermediate hop's Vary is dropped so a response that varies on Authorization or Cookie can be served to a different user, and an intermediate hop's no-cache or default-uncacheable status is ignored so a non-storable redirect is laundered into a cacheable entry. An attacker who controls a redirect target from a trusted URL can poison the cached entry for that URL or have a private, per-user response served to a later caller. The issue is fixed in undici 7.30.2 and 8.12.4, and users should upgrade to one of those versions or later. As a workaround, compose the interceptors as cache then redirect, use per-origin dispatchers and cache stores, or disable shared caching on redirect-capable requests.
- 公開日
- 2026-11-06
- 最終更新（NVD）
- 2026-11-06
- NVD の状態
- Received
- 脆弱性の種類
- CWE-346、CWE-524
深刻度（CVSS）
- 7.4 HighCVSS 3.1／副／評価：ce714d77-add3-4f53-aff5-83d477b104bb
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:N
悪用の状況
CISA KEV には掲載されていません（掲載されていないことは、悪用されていないことの証明ではありません）。
解消方法
- undici 7系 のバージョンアップ7.30.2 以降根拠：公告（編集部の転記）
- undici 8系 のバージョンアップ8.12.4 以降根拠：公告（編集部の転記）
- 回避策（設定変更など）根拠：公告（編集部の転記）
「NVD の条件から推定」は、NVD が影響ありとする版の上限から読み取ったもので、修正版とは限りません。「解消方法の情報なし」は、修正が無いという意味ではありません。必ずベンダーの公告で確認してください。
編集部の記載（レポート掲載時）
レポートの編集部がベンダー公告などから転記した内容です。検証済みの値ではないため、必ず出典で確認してください。
2026-11-06 のレポートundici：redirectとshared cacheの併用によるキャッシュ汚染（7.4）
origin無しAgent、共有キャッシュストア、compose(redirect(), cache())の3条件がそろうと、途中ホップを無視して他の利用者の私的な応答が返りうる。GitHubアドバイザリの本文を確認。
悪用状況（編集部）：悪用の報告は確認されていない根拠
公告に記載の回避策
- インターセプターの順序をcompose(cache(), redirect())にする。オリジンごとにdispatcherとキャッシュストアを分ける。リダイレクトが起こりうるリクエストでは共有キャッシュを使わない。公告
参照（NVD）
NVD から取得：2026-11-06T10:40:18.427Z
This product uses the NVD API but is not endorsed or certified by the NVD.
悪用の確認情報は CISA Known Exploited Vulnerabilities Catalog（NVD 経由で取得）によります。EPSS は FIRST（www.first.org/epss）によります。