#20260331 【NPM・Go】大量の脆弱性発覚

■ 今日のハイライト 本日は、アプリケーション開発者やインフラエンジニアに多大な影響を与える、重要な脆弱性ニュースを5つピックアップしてお届けします。Node.jsのエコシステムや、クラウドインフラに関する重大なセキュリティアップデートが多数報告されています。 ▼ 【OpenClaw】大量11件のアドバイザリが報告 NPMパッケージの「OpenClaw」において、一挙に11件のアドバイザリが公表されました。 ・影響：ACP CLIの承認プロンプトにおけるANSIエスケープシーケンスのインジェクションや、Telegram・Teams・Feishuなどのチャット連携における認証バイパス、SSRF（サーバーサイドリクエストフォージェリ）などが含まれます。 ・対策：バージョン2026.3.24以下の利用者は、直ちに修正版である「2026.3.25」へアップデートしてください。 ▼ 【MikroORM】SQLインジェクションとプロトタイプ汚染 TypeScript向けの人気ORM「MikroORM」にて、2つの重大な脆弱性が報告されています。 ・CVE-2026-34220：特別に細工されたオブジェクトがそのまま生のSQLクエリとして解釈されてしまう、SQLインジェクションの脆弱性。 ・CVE-2026-34221：内部関数におけるプロトタイプ汚染の脆弱性。悪意のある入力を通じてJavaScriptオブジェクトの動作を改ざんされる恐れがあります。 ▼ 【Traefik】アクセス制御をすり抜ける脆弱性（CVE-2026-33186） リバースプロキシ「Traefik」において、依存している「gRPC-Go」の脆弱性に起因する問題が判明しました。 ・影響：先頭のスラッシュを省略した不正なHTTP/2の疑似ヘッダーを送信することで、未認証の攻撃者がTraefikのアクセス拒否（Deny）ルールをバイパスし、バックエンドへ到達できる危険性があります。 ▼ 【Parse Server】MFAバイパスと機密データ漏洩 BaaSプラットフォーム「Parse Server」で認証に関する致命的な問題が2件確認されました。 ・CVE-2026-34224：同時並行でログインリクエストを送信することで、1回しか使えないはずのMFAワンタイムトークンを使い回し、複数セッションを作成できる競合状態の脆弱性。 ・CVE-2026-34215：パスワード検証エンドポイントが、MFAのTOTPシークレットやOAuthトークンなどの機密情報をそのまま返却してしまう情報漏洩の脆弱性。 ▼ 【GitHub Actions】ワークフローでのコマンドインジェクション（CVE-2026-34243） 「njzjz/wenxian」リポジトリのGitHub Actionsにおいて、Issueのコメント本文をサニタイズせずにシェルコマンドに渡している問題が報告されました。悪意のあるコメントを投稿するだけで、ランナー上で任意のコードが実行されてしまう危険な状態です。 エンジニアの皆様は、使用しているライブラリやツールのバージョンを今一度ご確認ください。 #セキュリティ #エンジニア #ITニュース #脆弱性 #サイバーセキュリティ Data sources: GitHub Advisory Database (CC-BY 4.0) --- stand.fmでは、この放送にいいね・コメント・レター送信ができます。 https://stand.fm/channels/5ec48451f654bbcab4d3f793