マルチパートフォームデータを生成するnpmパッケージに脆弱性

マルチパートフォームデータを生成できるnpmパッケージ「form-data」に脆弱性が判明した。アップデートがリリースされている。

同パッケージに擬似乱数関数を用いて生成した「boundary値」をデータ送信に用いる脆弱性「CVE-2025-7783」が明らかとなったもの。

「boundary値」が衝突する細工されたデータによって、本来意図しない追加パラメータを注入するなど、リクエストの改ざんが可能となるおそれがある。

CVE番号を採番したharboristは、共通脆弱性評価システム「CVSSv4.0」のベーススコアを「9.4」、重要度を4段階中もっとも高い「クリティカル（Critical）」とレーティングしている。

「同4.0.4」「同3.0.4」「同2.5.4」にて脆弱性が解消されている。概念実証（PoC）も公開されており注意が必要。

（Security NEXT - 2025/07/23 ）ツイート