CVE-2026-109461 [高] MSAL (Microsoft Authentication Library) のNode.js版における認可コードフローにおいて、パラメータが攻撃者の管理するエンドポイントに漏洩する可能性がある。

公開日 2026-10-24 GitHub Advisory（high）深刻度 HIGH

この記事は英語の原文を AI で機械翻訳したものです。製品名・バージョン・CVE 番号や、肯定・否定が正しく訳されていない場合があります。必ず元記事をご確認ください。ご利用上の注意

MSAL Nodeの認可コードフローにおいて、パラメータが攻撃者の制御下にあるエンドポイントに公開される可能性があります。

### 影響

Microsoft Authentication Library (MSAL) for Node.jsにおける認証エラーにより、不正な攻撃者がネットワークを通じて情報を取得できる可能性があります。これは、auth_codeフローに影響を与えます。

### 修正

バージョン7.1.0以降で修正されています。

### 対策

`acquireTokenByCode`に、認可コードのみを渡すようにしてください。

影響を受けるパッケージ：
- npm (JavaScript) @azure/msal-node: 影響を受けるバージョンは、5.0.0-beta.0以上、7.1.0未満。7.1.0で修正されています。