[april418]

概要

2026 年 10 月の Node.js セキュリティリリースに追従し、固定していた 24.14.1 を 24.22.1 へ更新する。

• アドバイザリ: https://nodejs.org/ja/blog/vulnerability/october-2026-security-releases
• 24.x 系の修正版: 24.22.1

修正される主な脆弱性 (HIGH)

CVE	内容
CVE-2026-111497	Brotli デコーダの境界外書き込みによるリモートコード実行
CVE-2026-105482	dns.resolve が NUL 文字を含む名前を切り詰める
CVE-2026-105483	全角数字で書かれた IP での TLS 証明書ホスト名検証バイパス
CVE-2026-106069	ホスト名が緩く IP へ解決される場合の TLS 証明書ホスト名検証バイパス

変更したファイル

• .github/workflows/publish-to-artifactregistry.yml
• .github/workflows/test.yml
• package.json

含まれるコミット

• ab23907 chore(deps): Node.js を 24.22.1 に更新する
• febcc9e chore: version を 0.4.3 へ上げる

確認した点

• 24.14.1 の残存が 0 件 (lockfile を除く)
• 変更した YAML / JSON がパースできること
• lockfile を変更していないこと。lockfile 内の engines: {node: 24.14.1} は依存パッケージのメタデータで、ルートの engines は lockfile に記録されないため再生成は不要

手元で実行した結果

Node 24.22.1 を入れて、各リポジトリの packageManager 指定どおりの pnpm で実行した。

項目	結果
pnpm install --frozen-lockfile	成功
pnpm audit	成功
pnpm lint	成功
pnpm run build	成功
pnpm test	成功

version を 0.4.3 へ上げた理由

engines.node は engine-strict が読む宣言であり、手元や CI が脆弱な 24.14.1 で install するのを止める唯一のバックストップである。Node を 24.22.1 へ上げるなら、ここも併せて上げないとその歯止めが効かない。

一方でこのパッケージは Artifact Registry へ publish されるため、engines は利用側への契約でもある。下限を上げるのは公開物の契約変更にあたる。

公開済みの 0.4.2 は engines.node が >=24.14.1 <25。版を据え置くと同じ 0.4.2 が 2 つの内容を指すことになるため、0.4.3 へ上げる。

このリポジトリの publish ワークフローは「その版が既に公開済みか」だけを見るため、版を据え置いても CI は通る。ただしリポジトリの engines と公開物の engines が食い違ったまま残る。

engines のみの変更を patch で上げるのは、0.4.2 を公開したときと同じ扱いである。

マージ時に起きること

0.4.3 は Artifact Registry に存在しないため、publish ステップが実行されて新しい版が公開される。既存の利用側は 0.4.2 を exact で固定しており（save-exact=true / savePrefix: ""）、自動では新しい版に移らない。

🤖 Generated with Claude Code