「Node.js」アップデート公開、当初予定を上回る脆弱性8件に対応

「Node.js」の開発チームは現地時間2026年1月13日、複数の脆弱性を解消するセキュリティアップデートを公開した。

「Node.js 25.3.0」「同24.13.0」「同22.22.0」「同20.20.0」をリリースしたもの。当初2025年12月にリリースを予定していたが、複数回の延期を経て公開された。

ブランチによって影響を受ける脆弱性が異なるが、あわせて8件の脆弱性を解消している。従来の発表では修正予定の脆弱性を5件としていたが、3件追加された。

重要度が「クリティカル（Critical）」とされる脆弱性は含まれておらず、2番目に高い「高（High）」とされる脆弱性は3件。これら3件に関しては、いずれのブランチも影響を受ける。

具体的には、タイムアウト処理中に競合が生じてメモリの初期化が正しく行われず、情報漏洩が生じる「CVE-2025-55131」が判明。トークンやパスワードなど、機密性が高い情報の漏洩につながるおそれもあるという。

（Security NEXT - 2026/01/15 ）ツイート