TAG
#脆弱性
脆弱性に関する記事の一覧です。
46件の記事
ARTICLES
記事一覧
新着順・16〜30件を表示
-
キャッシュから個人情報を漏らさないために｜CDNと会員ページの境界を点検する
表示を速くするキャッシュが、別の利用者へ会員情報を返す原因になることがあります。private・no-store・no-cacheの違い、CDNの保存ルールとキャッシュキー、URL…
-
XMLを受け取るWeb機能のXXE対策｜外部参照と解析資源を別々に制限する
XMLの外部実体参照は、解析するだけの処理から内部ファイルやネットワークへの経路を作ることがあります。DTD、外部参照、XInclude、解析後の変換を分け、ライブラリの設定確認、…
-
コマンドインジェクションを防ぐ実装｜シェルを外した後も確認する引数と権限
外部入力をコマンドへ渡す処理では、特殊文字の除去だけに頼らない対策が必要です。OSコマンドを使わない選択、実行ファイルと引数の分離、オプションの制限、環境変数、実行権限、時間と出力…
-
画面にない項目まで更新されていない？マスアサインメントを防ぐ設計
入力されたJSONやフォームを、そのままモデルへ保存していませんか。マスアサインメントによる権限・所有者・公開状態の意図しない変更を防ぐため、更新項目の許可リスト、DTO、入れ子の…
-
リバースプロキシの解釈差を防ぐHTTPリクエストスマグリング対策
CDNやリバースプロキシとバックエンドでHTTP要求の区切り方が食い違うと、要求の混線を招くおそれがあります。HTTPリクエストスマグリングの成立条件、HTTP/2からの変換、更新…
-
SQLインジェクションを防ぐ実装と検証｜プレースホルダーで守れない部分も確認
SQLインジェクション対策の基本となるパラメーター化クエリを、検索・並べ替え・一括処理の実装に落とし込みます。値を束縛できる場所と識別子の違い、ORMの生SQL、保存済みデータの再…
-
CSPを壊さず導入する手順！Report-Onlyからnonce運用まで
Content Security Policyを本番へ導入する際の、読み込み元の棚卸し、Report-Only、nonce・ハッシュ、キャッシュとの整合、強制への移行を解説します。…
-
CORSの許可範囲を安全に設計する｜認証・認可と混同しないAPI設定
CORSはAPIの認証・認可とは別に、ブラウザーが異なるオリジンの応答を読める条件を制御します。資格情報付き要求、許可リスト、プリフライト、Varyとキャッシュを整理し、CORSエ…
-
CSRF対策はSameSiteだけで十分？更新操作を守るトークンと送信元確認
ログイン済みのブラウザーを悪用するCSRFを、Cookieの送信、更新操作、本人の権限に分けて解説します。SameSiteの限界、CSRFトークン、Origin確認、別サブドメイン…
-
DrupalのBlock AJAXに重大な脆弱性｜3.0.2の修正と表示変更を一緒に確認
Drupal拡張Block AJAXのPHPオブジェクトインジェクションについて、対象版とLayout Builderなどの条件を整理します。3.0.2では安全性の修正に伴う動作変…
-
Atlassian製品のファイルアクセス対策は認証画面の確認だけで大丈夫？
AtlassianのCVE-2026-21589を、公開ディレクトリ内の特定ファイルへ認証なしでアクセスできる問題として解説します。対象のData Center製品と修正版、Clo…
-
【WordPress】7.1.3で7件のセキュリティ修正！コメントと非公開情報も確認
WordPress 7.1.3で公表された7件のセキュリティ修正を、コメント管理・非公開投稿の情報・エクスポートなどの経路に分けて解説します。プラグイン更新とは別の本体対応、導入系…
-
Veeamの閲覧ロールからコード実行の可能性｜12.3.2 P4への更新を確認
Veeam Backup & Replication 12.3.2 P4で修正されたCVE-2025-64393を中心に、Backup Viewer権限からのコード実行リスクを解説…
-
KibanaのFleetでデータ流路を横取りする脆弱性に対応するには？
KibanaのFleetで公表されたCVE-2026-102406を解説します。共有環境の別チームのデータ流路を変更できる条件、対象版と修正版、カスタム統合パッケージの権限制限を整…
-
Splunkの重大な脆弱性で見直す補助APIと更新後の追加設定
Splunk EnterpriseのSVD-2026-1001をもとに、Patroni REST APIの認証欠如と修正版への対応を整理します。検索ヘッドの補助サービス、系列ごとの…
スポンサーリンク