何が起きたか
不正なパーセントエンコードを含む入力では、フォールバックのデコード処理が異なる符号化の並びごとに文字列全体を置換するため、処理時間が入力長の2乗で増えます。約 224 KB のリクエスト1回で Node.js のイベントループが約20秒止まります。CVE-2026-45822 を修正した 0.5.0 も影響を受けます。
やること
0.5.1 以降へ更新します。多くのパッケージの間接依存として入っているため、npm ls decode-uri-component で版を確認してください。
出典
GitHub Advisory Database（GHSA-qr28-fpjm-wq7f）github.com英語 ↗上の要約は通り道編集部がまとめたものです。影響範囲と修正版は必ず各出典で確認してください。