securityintronational

玄関の鍵だけじゃ防げない？「XSS」という名の“合鍵”を作らせない技術こんにちは。現場で泥臭いインシデント対応をしていると、よく「ちゃんとWAFを入れているのに攻撃された」という相談を受けます。セキュリティの世界では、WAF（Web App...

AngularのSanitizerサービス：あなたのアプリを「悪意あるコード」から守る賢い番犬！皆さん、こんにちは！サイバーセキュリティの世界へようこそ。突然ですが、皆さんはご自宅の鍵、ちゃんとかけていますか？泥棒に入られたら大変なことにな...

Vue.jsの v-html という「パンドラの箱」：DOMベースXSSの深淵とアーキテクチャによる防御フロントエンド開発において、v-html は強力なツールだ。しかし、セキュリティの現場で数々のインシデントを追ってきた者から言わせれば、...

Vue.jsの v-html は「時限爆弾」だ。なぜ多くの現場で事故が起きるのかやあ。コードレビューの現場で v-html を見かけるたびに、私は「ああ、またパンドラの箱を開けようとしているのか」と頭を抱えたくなる。Vue.jsはデフォルト...

その「v-html」、安易に使っていませんか？Vue.jsの魔の入り口と「玄関の防犯」の話こんにちは！セキュリティの現場で日々、泥臭い攻防を繰り広げているエンジニアです。今日は、Vue.jsを使っている開発者なら一度は目にするであろうv-h...

Reactの「自動エスケープ」という甘い罠：DOMの深淵と dangerouslySetInnerHTML の呪い現場でコードレビューをしていると、Reactが「安全なフレームワーク」であるという過信が、重大な脆弱性の温床になっているケース...

Reactの「自動エスケープ」を過信してはいけない：dangerouslySetInnerHTMLが引き起こす悪夢と防衛術やあ、現場の最前線でコードと向き合うエンジニア諸君。「Reactを使っているからXSS（クロスサイトスクリプティング）...

React開発の「安全神話」を解剖する：dangerouslySetInnerHTMLという名のパンドラの箱こんにちは。現場で泥臭いインシデント対応を繰り返していると、「最新のフレームワークを使っているからうちは安全だ」と信じ込んでいる開発...

境界防衛の最終防壁：CSP connect-src が握るデータ流出阻止の要諦インジェクション攻撃の歴史は、そのまま「いかにして正規の通信経路を乗っ取るか」という歴史だ。SQLインジェクションでDBを叩き、OSコマンドインジェクションでシェ...

なぜ、CSPのconnect-srcを語らずにWebセキュリティを語るのか？現場でいくつものインシデントを見てきたが、「XSSを防げば安心」と思っているエンジニアがいまだに多い。だが、現代のサイバー攻撃はそんなに甘くない。攻撃者は、一度仕込...