tag
SSRF
このタグの記事 3 件
2026-08-22
Next.jsとReactは脆弱性が多いのか：CVEの実データで見る、脆弱性が出ている機能
実データではReactコアの脆弱性はほぼ出ておらず、Next.jsは多く、しかも増えている。ただし中身を見ると、出ているのはMiddleware・キャッシュ・画像最適化・Server Actionsといったサーバー機能で、CWEもSSRF・デシリアライズ・認可迂回。当サイトの結論：危ないのはフロントエンドの書き方ではなく、Next.jsはサーバーとして守る必要がある。だから守り方も、コンポーネントの書き方ではなくサーバー機能の使い方と更新運用に置く。
2026-06-07
SSRF（サーバーサイドリクエストフォージェリ）とは
SSRFは、外部入力のURLを使ってサーバーに内部リソース（内部IPやクラウドメタデータ）にアクセスさせる攻撃。URLを取りに行く機能を作るなら、宛先の許可リスト・内部遮断・リダイレクト/DNS再解決による回避への対策が必須。Capital One事故の原因でもあった。
重大2026-06-07
Capital One 情報漏えい事件（2019）— SSRFから1億人分が漏れた原因と防御
起点はたった1つのSSRF。そこからメタデータ提供先→過剰権限のIAM一時鍵→S3一括コピーへと連鎖し、約1億600万人分が漏えい。各段階で止められた。あなたの環境ではIMDSv2・IAM最小権限・送信先の許可リストで再発防止する。