2025年7月、PromiseベースのHTTPクライアントでNode.jsとReactでも広く利用されている人気のHTTPクライアントライブラリ「Axios」において、依存パッケージを通じた重大な脆弱性が報告されました。
該当するのは、Axios v1.10.0に含まれる [email protected] に起因する脆弱性で、CVE-2025-7783として追跡されており、CVSSスコアは「9.4（クリティカル）」と評価されています。
影響範囲と対象バージョン
本脆弱性は以下の環境で発生します
-
脆弱なform-dataのバージョン
-
2.5.4未満
-
3.0.0〜3.0.3
-
4.0.0〜4.0.3
-
-
影響を受けるAxiosバージョン
-
1.10.0（[email protected] を依存として使用）
-
Axiosはnpmで月間2億回以上ダウンロードされており、Node.jsやReact、ブラウザで広く利用されています。そのため、影響を受けるアプリケーション数は膨大と見られています。
脆弱性に対策バージョン
-
[email protected]を利用している場合は、速やかに1.11.0以上へアップグレードしてください。
また、依存関係に含まれるform-dataのバージョンも確認し、4.0.4以上に更新されていることを必ずご確認ください。
脆弱性の内容
問題の中心は、form-data パッケージが Math.random() を用いてマルチパートリクエストに必要な「境界値（boundary）」を生成している点にあります。Math.random() は決して暗号学的に安全な乱数生成ではなく、攻撃者がその値のパターンを予測することが可能です。
このため、攻撃者がマルチパートリクエストの解析ロジックを悪用し、意図しないパラメータを注入したり、リクエストの構造そのものを操作するリスクがあります。特に、下記のような攻撃に発展する可能性があります。
-
HTTPパラメータ汚染（HTTP Parameter Pollution）
-
リクエストスマグリング
-
サーバ側の逆シリアライズ処理の誤作動
また簡単なPoCも公開されているので、現実的にサイバー攻撃者に悪用される可能性もあるので注意が必要です。
関連記事
エプスタインの情報漏洩と関連する日本人のまとめ-エプスタイン文書では松本 大氏や伊藤 穰一氏、林 千晶氏のアテンド記録も
Microsoftが偵察から仮想通貨 盗難まで行うトロイの木馬「StilachiRAT」を発見
オンラインコード/JSON 整形ツールに貼り付けた機密情報が世界に晒されている-秘密鍵や個人情報など大量に漏洩
SonicWall(ソニックウォール)、不正アクセスで全クラウドバックアップ 顧客のファイアウォール 設定が盗まれる
Googleが警告、ShinyHuntersがボイスフィッシング(ビッシング)を起点としてSaaSへ不正アクセス
中国系ハッカー グループがReact Server Componentsの脆弱性 React2Shell(CVE-2025-55182)を即日悪用-AWSが警告
LINEの公式アカウントで情報漏洩-繰り返される個人情報漏洩 インシデント
Googleへ不正アクセス、Gmail アカウント 情報の最大25億人分が漏洩の可能性-パスワード変更を推奨
Androidで重大な脆弱性と2件のゼロデイ- 12月セキュリティパッチで緊急修正(CVE-2025-48631,CVE-2025-48633,CVE-2025-48572)
