path-to-regexp は、単一セグメント内の複数のルートパラメータによって、正規表現のDoS (Denial of Service) の脆弱性があります

この脆弱性は、攻撃者がpath-to-regexpを使用するNode.jsアプリケーションに対してDoS攻撃を実行することを可能にします。攻撃者は、特定のパラメータを持つ悪意のある正規表現を生成し、アプリケーションを過剰なバックトラックに陥らせ、リソースを枯渇させ、サービスを停止させることができます。攻撃の影響範囲は、アプリケーションの重要性と可用性によって異なります。この脆弱性は、類似の正規表現エンジンにおけるバックトラック攻撃と同様のパターンを示しています。

Applications built with Node.js that utilize the path-to-regexp package for URL routing or parameter parsing are at risk. This includes web applications, APIs, and microservices that rely on this package for handling incoming requests. Projects using older versions of path-to-regexp are particularly vulnerable.

• nodejs / server:

  npm list path-to-regexp

• nodejs / server:

npm audit path-to-regexp

• nodejs / server:

  grep -r 'path-to-regexp' package.json

1. 2026-03-27Disclosure

   disclosure

1. 予約済み2026-03-25
2. 公開日2026-03-27
3. 更新日2026-03-31
4. EPSS 更新日2026-04-03

この脆弱性への主な対策は、path-to-regexpライブラリをバージョン0.1.13以上にアップグレードすることです。アップグレードがアプリケーションに影響を与える場合は、一時的な回避策として、入力パラメータの数を制限するなどの対策を検討してください。また、WAF（Web Application Firewall）やプロキシサーバーを使用して、悪意のある正規表現パターンを検出およびブロックすることも有効です。将来の同様の脆弱性を防ぐために、正規表現の設計と検証を徹底することが重要です。アップグレード後、アプリケーションをテストし、DoS攻撃に対する耐性を確認してください。