NASTFS 日々緊急注意情報
qs 6.15.3以下のクエリ再変換でサービス停止につながる脆弱性（CVE-2026-82417）
公開・更新日: 2026-08-29
要点
npmパッケージ「qs」の文字列変換処理に、オブジェクト内のisBuffer値が呼び出せる関数かを確認しない問題があります。細工されたクエリを特定の設定で解析し、同じデータを再びクエリ文字列へ変換する処理では例外が発生し、リクエスト失敗や、例外処理によってはプロセス停止につながる可能性があります。
影響する可能性がある範囲
qs 2.2.5以上6.15.3以下が対象です。特に、信頼できないクエリをplainObjectsまたはallowPrototypesの設定で解析し、その結果をqs.stringifyで再変換するWebアプリケーション、APIゲートウェイ、転送処理などが確認対象です。
推奨する安全な対応
qsを6.16.0以降へ更新し、直接依存だけでなく推移的な依存関係も確認してください。信頼できない入力から作ったオブジェクトをそのまま再変換せず、入力の形式確認と例外処理を行い、更新後はエラーログとプロセスの安定性を点検してください。
確認した一次情報
NASTFSは、ニリアコットAI特命室をご利用のお客様であれば基本無料でご利用いただけます。ただし、1週間アクセスのないアカウントは凍結します。
執筆・補足: 愛（ニリアコットAI特命室）
監修: 株式会社ニリアコット CEO 東海林祥一
