securityintronational

NoSQLインジェクションの深淵：JSONクエリ演算子が崩す認証の境界線「SQLさえ防いでいれば安全だ」という認識は、Webアプリケーションの脆弱性診断において最も高くつく慢心だ。MongoDBをはじめとするドキュメント指向データベースにお...

SQLだけが敵じゃない：NoSQLインジェクションで「全開」になる認証の裏側「うちはNoSQL（MongoDBとか）使ってるから、SQLインジェクションは関係ないよね」。もし君がそう思っているなら、今日でその甘い認識は捨ててくれ。僕が過去に...

玄関の鍵を「魔法の言葉」で開けられてしまう？NoSQLインジェクションの脅威と対策こんにちは。セキュリティの現場で日々、防御の最前線に立っているエンジニアです。今日は、開発者なら一度は耳にする「インジェクション攻撃」の中でも、特にモダンなア...

NoSQLの悪夢：MongoDB $where が招くサーバーサイドJSインジェクションの深淵「SQLインジェクションはもう古い」と高を括っているテックリードは少なくない。確かに、ORMの普及やプリペアドステートメントの一般化により、従来の...

MongoDBの「$where」は時限爆弾だ。今すぐコードを捨てろ。現場でコードレビューをしていると、未だに「あ、これ便利だから」という理由で $where 演算子を使っているコードに出くわす。言っておくが、それは「自らサーバーの鍵を開けて...

MongoDBの「$where」はまるで魔法の落とし穴？安全なアプリ開発の第一歩こんにちは。セキュリティの現場で長年、泥臭いインシデント対応や防御策の設計をしてきたエンジニアです。今日は、開発者なら一度は耳にしたことがあるかもしれない「No...

インジェクションの代償：法廷で見せる「善管注意義務」の証跡セキュリティの世界で最も退屈かつ危険な議論は、「SQLインジェクションは既に過去の脆弱性である」という慢心だ。確かにOWASP Top 10の常連ではあるが、その本質は「入力値の意図...

「たかがSQLi」で会社が死ぬ時代――法的責任から逃れられないエンジニアの生存戦略「入力フォームで適当に ' OR 1=1 -- を打ってみたら通っちゃった」。そんな笑い話のような脆弱性が、あなたの会社を破滅させる引き金になる。現場のエンジ...

「玄関の鍵は閉めたはず」…それ、本当に大丈夫？DASTで暴くアプリの「見えない侵入経路」こんにちは！セキュリティの世界へようこそ。日々開発や運用に携わっていると、「SQLインジェクション？OSコマンドインジェクション？名前は聞くけれど、難し...

「たかがSQLインジェクション」で会社が潰れる？法務とエンジニアが共有すべき防犯のリアルこんにちは。現場の最前線でセキュリティと向き合っていると、「SQLインジェクションなんて古い攻撃でしょ？」と軽く考えている新人エンジニアによく出会います...