Vulnerability– category –
-
メールヘッダーインジェクションとは？仕組み・被害例・対策をわかりやすく解説
フォームからのお問い合わせメールが届いた裏で、自社サーバーが何千件ものスパムを外部へ配信していたとしたら——こう聞いてもピンとこない方も多いかもしれません。しかし、メールヘッダーインジェクションは国内のWebサイトでも長年確認され続けている、... -
WebSocketのセキュリティリスクと対策｜CSWSH・認証欠落・メッセージ検証不備の仕組みと防御策をわかりやすく解説
リアルタイムチャット・株価ダッシュボード・IoT機器の制御画面。これらに共通するWebSocket通信が、あなたのシステムに盲点を生み出している可能性があります。 WebSocketは「一度コネクションを確立すれば、サーバーとクライアントが自由にデータをやり... -
アクセス制御の不備（Broken Access Control）とは？OWASP A01の仕組み・攻撃パターン・対策を現場目線で解説
「自分のアカウントしか見られないはずのデータが、URLの数字を変えるだけで他人のものも表示されてしまった」——こうした事故が、Webアプリケーションで最も頻繁に発生している脆弱性カテゴリの一つです。 アクセス制御の不備（Broken Access Control）は... -
DOM型XSSとは？ブラウザ内で完結するスクリプト攻撃の仕組みと対策をわかりやすく解説
「WAFを入れているのに、セキュリティ診断でXSSが指摘された」。その原因がDOM型XSSである場合があります。サーバーへのリクエストが発生しないため、多くのWAFやサーバー側の検証をすり抜けます。 この記事では、DOM型XSSの仕組みと反射型・蓄積型XSSとの... -
JWT（JSON Web Token）脆弱性とは？署名検証バイパス・アルゴリズム混乱攻撃の仕組みと対策をわかりやすく解説
自社のWebアプリやAPIにJWT認証を採用しているエンジニアの方から、「JWTって本当に安全なの？」という質問を受けることが多くなりました。JWT自体は優れた設計ですが、実装の仕方を誤ると深刻な認証回避につながります。 この記事では、JWT脆弱性の代表的... -
脆弱なコンポーネントの使用（OWASP A06）とは？古いライブラリが招くリスクと依存関係の安全管理ガイド
インフラエンジニアや開発担当者の方から「古いライブラリを使っていても、具体的に何がどう危ないのかよくわからない」という声をよく聞きます。2021年末にLog4Shellが世界を震撼させて以降も、古いコンポーネントを起点にした大規模侵害は年々増加してい... -
SSLストリッピング攻撃とは？HTTPSを無効化する中間者攻撃の手口とHSTSによる対策をわかりやすく解説
「うちのサイトはHTTPSだから安全」──そう思っているなら、SSLストリッピング攻撃について確認していただきたいことがあります。この攻撃は、HTTPSをHTTPに「降格」させることで、暗号化された通信を平文で傍受するものです。ブラウザのアドレスバーから鍵... -
Blind SQLインジェクションとは？時間ベース・エラーベースの手口と対策を現場目線で解説
社内のWebアプリに対して脆弱性診断を実施したところ、「Blind SQLインジェクションの可能性あり」という報告が上がってきた。でも実際の画面にはエラーメッセージひとつ出ていない。攻撃されているとしたら、一体どうやって情報が抜かれるんだろう？ こう... -
暗号化の失敗（Cryptographic Failures）とは？OWASP Top 10第2位の脆弱性と対策をわかりやすく解説
「うちのシステムでは暗号化しているから大丈夫」——そう思っていても、暗号化の実装が誤っていれば、攻撃者にとっては格好の標的になりかねません。 OWASP Top 10 2021では「Cryptographic Failures（暗号化の失敗）」が第2位に位置付けられています。フィ... -
プロンプトインジェクション攻撃とは？AIを操る脆弱性の仕組みと企業が取るべき対策をわかりやすく解説
社内でChatGPTやClaudeなどの生成AIを業務に使い始めたとき、「このAIに悪意ある指示を送り込まれたらどうなるのか」と考えたことはないでしょうか。あるいは、AIを組み込んだシステムを開発・運用している方が「プロンプトインジェクションという言葉は聞...
