【2026年9月版】D3.jsのバージョンと脆弱性情報

皆さんこんにちは。
taneCREATIVEの「ちほうタイガー」です。

この記事は、D3.jsのバージョンと脆弱性への対応状況についてまとめたもので、2026年9月2日に改訂しています。

D3.jsは、W Webブラウザ上で高度なデータ可視化を実現するJavaScriptライブラリであり、Observable社を中心としたコミュニティによって開発・サポートされています。

D3.jsのアクティブインストール数などの情報は見つかっていませんが、公式GitHubリポジトリでは現在11万3600以上のstarを獲得しており、非常に人気の高いライブラリであるという印象です。

一方で、人気が高いほど攻撃対象になるリスクもあるため、脆弱性への適切な対応が重要になります。

この記事では、企業のWeb担当の皆様に向けて、D3.jsの概要並びに脆弱性情報及びその対応状況をご紹介いたします。
D3.jsを安全に運用していただく一助になれば幸いです。

前述の通り、D3.js（Data-Driven Documents）は、Webブラウザ上で高度なデータ可視化を実現できるオープンソースのJavaScriptライブラリです。

SVGやCanvasを活用して動的なグラフ、チャート、マップなどを簡単に作成でき、複雑なデータを直感的に表現することが可能であり、データとDOM（Document Object Model）を効果的に連携させることで、インタラクティブなアニメーションも容易に実装できることから、学術研究からビジネスのデータ分析まで、近年多くのWebサイトで利用されています。

一方で、利用者の多いライブラリは、攻撃のターゲットにされる可能性があるため、当社では、脆弱性に対する対応が遅い、もしくは対応しないライブラリは、クライアントにお勧めしていません。

D3.jsについては、2年間ほどバージョンアップされておりませんが、2026年9月3日現在においては、重大な脆弱性が未修正のまま放置されている状況ではないことから、最新バージョンを使用している限りにおいては、基本的にはセキュリティ面でのリスクは少ないと判断しています。
一方で、npmなどでD3.jsを導入している場合には、D3.js本体のバージョンだけでは修正状況を判断できません。ロックファイルや実際の依存関係を確認し、d3-colorが3.1.0以上であることを確認してください。

2026年9月3日現在、D3.jsの最新バージョンは7.9.0です。

バージョン情報は次の表の通りですが、D3.jsでは旧バージョンごとの公式EOLは公表されていません。

※上記の内容は、GitHubの情報を正として掲載しています。
※GHSA-36jr-mh4h-2g58の影響を受けるd3-colorが公式配布バンドルに含まれるD3.jsの範囲は、D3.js 4.4.0以上7.4.0未満です。D3.js 7.4.0から、修正版のd3-color 3.1.0が取り込まれています。

D3.jsの最新バージョンは7.9.0であり、当社が把握している限り、CVEにて採番された脆弱性情報はありません。

しかしながら、公式D3モジュールの一つである d3-color には、GitHub Reviewed Advisoryとして以下の脆弱性が公開されています。

D3.jsの公式配布バンドルでは、バージョン7.4.0から修正版のd3-color 3.1.0が取り込まれています。
バージョン7.3.0の公式バンドルにはd3-color 3.0.1が含まれていますが、npmでD3.jsを導入している場合、実際にインストールされるd3-colorのバージョンはロックファイルや依存関係の解決結果によって異なります。
D3.js 7系をnpmで利用している場合は、D3.jsを7.4.0以上へ更新したうえで、package-lock.json、yarn.lockまたはnode_modulesを確認し、実際に解決されたd3-colorが3.1.0以上であることを確認してください。

なお、「D3.js 脆弱性」で検索をすると、CVE-2017-16044に関する情報が見つかるかと思います。

こちらついては、NVDサイトなどに「環境変数を乗っ取る目的で公開された悪質なモジュール。npmによって公開が解除された」と記載があり、当社では、悪意あるtypo squattingの事例（正規のパッケージ名と同一ないし非常に似た名前で悪意あるコードを公開する攻撃手法の例）であり、正規のD3.jsに関する脆弱性ではないと考えております。

※上記見解はあくまで当社の見解であり、本記事における脆弱性情報をご利用になる場合には、必ずJVN、NVDなどの情報を確認されたうえで、自己責任でご利用ください。

前述のように、D3.jsは人気のあるライブラリであり、Web制作の現場では、よくお世話になるプラグインです。

しかしながら、D3.js自体のバージョンアップをしようと思っても、JavaScriptの知識が必要であったり、作業が複雑であるなどの問題に直面することもあるかと思います。