socket.io allows an unbounded number of binary attachments

高 7.5CVE-2026-33151 · GHSA-677m-j7p3-52f9 · 20/03/2026 公開 · 17/06/2026 更新

要点

CVE-2026-33151 は socket.io-parser (socket), socket.io-parser に影響する深刻度「高」 (CVSS 7.5) の脆弱性です。
今後30日間に悪用される確率（EPSS）：0.52%（全脆弱性の 44.4% より高い）。
対処：3.4.4, 4.2.6, 3.3.5 以降に更新してください。

パッケージ	影響を受けるバージョン	修正済みバージョン
socket.io-parser socket	`≥ 3.4.0, < 3.4.4≥ 4.0.0, < 4.2.6< 3.3.5`	`3.4.44.2.63.3.5`
socket.io-parser npm	`≥ 3.4.0, < 3.4.4≥ 4.0.0, < 4.2.6< 3.3.5`	`3.4.44.2.63.3.5`

概要

Impact

A specially crafted Socket.IO packet can make the server wait for a large number of binary attachments and buffer them, which can be exploited to make the server run out of memory.

Patches

Version range	Used by	Fixed version
`>=4.0.0 <4.2.6`	`[email protected]` and `[email protected]`	`4.2.6`
`>=3.4.0 <3.4.4`	`[email protected]`	`3.4.4`
`<3.3.5`	`[email protected]`	`3.3.5`

Workarounds

There is no known workaround except upgrading to a safe version.

For more information

If you have any questions or comments about this advisory:

Open a discussion here

NVD の説明

Socket.IO is an open source, real-time, bidirectional, event-based, communication framework. Prior to versions 3.3.5, 3.4.4, and 4.2.6, a specially crafted Socket.IO packet can make the server wait for a large number of binary attachments and buffer them, which can be exploited to make the server run out of memory. This issue has been patched in versions 3.3.5, 3.4.4, and 4.2.6.

参考情報

socketio/socket.io security advisory · WEB
nvd.nist.gov/vuln/detail/CVE-2026-33151 · ADVISORY
socketio/socket.io commit 719f9eb · WEB
socketio/socket.io commit 9d39f1f · WEB
socketio/socket.io commit b25738c · WEB
socketio/socket.io · PACKAGE

socket.io-parser のその他の脆弱性

すべて見る →

これらの製品をお使いですか？サイトをスキャンして、脆弱なバージョンが公開されていないか確認しましょう。

無料でサイトをスキャン

パッケージ

影響を受けるバージョン

修正済みバージョン

socket.io-parser

socket

≥ 3.4.0, < 3.4.4≥ 4.0.0, < 4.2.6< 3.3.5

3.4.44.2.63.3.5