はじめに：フロントエンドエンジニアがバックエンドの脆弱性を知るべき理由

フロントエンドエンジニアの皆さん、こんにちは！普段はユーザーインターフェースや体験の向上に尽力されていることと思いますが、Webアプリケーション全体のセキュリティはフロントエンドとバックエンドの境界を越えて考えるべき重要な課題です。今回解説する「Saltcorn」の脆弱性はバックエンドのフレームワークに関するものですが、その影響はAPIを通じてフロントエンドにも及び、開発環境やシステム全体の安全性に直結します。手元で利用するモジュールやAPIの背後でどのようなリスクが潜んでいるのか、一緒に見ていきましょう。

Saltcornのパス横断脆弱性 (CVE-2026-40163) とは？

Saltcornは、Webアプリケーションを構築するためのオープンソースのフレームワークです。このフレームワークのモバイル同期機能（具体的には`/sync/offline_changes`と`/sync/upload_finished`エンドポイント）に、認証なしで悪用可能な「パス横断（Path Traversal）」の脆弱性が発見されました。これは、攻撃者が意図しないサーバー上のファイルやディレクトリにアクセスできてしまう問題です。

この脆弱性の根源は、入力されたファイルパスが適切に検証されないまま、JavaScriptの`path.join()`関数に渡されてしまう点にあります。フロントエンドエンジニアの皆さんなら`path.join()`はファイルパスを結合する便利な関数としてご存知かと思いますが、不適切な使い方をするとセキュリティ上の問題を引き起こす典型的な例です。

具体的には以下の2つのエンドポイントで問題が発生します。

このエンドポイントでは、リクエストボディ内の`newSyncTimestamp`というパラメータが、`path.join()`に直接渡されていました。攻撃者はこのパラメータに`../../../../tmp/evil`のようなパス横断を示す文字列を含めることで、同期用ディレクトリの外にある任意の場所にディレクトリを作成し、`changes.json`という名前で任意のJSONコンテンツを書き込むことが可能です。

同様に、このエンドポイントではクエリパラメータの`dir_name`がサニタイズされずに`path.join()`関数に渡されます。これにより、攻撃者は`../../../../etc`などのパスを指定して、サーバー上の任意のディレクトリの内容を一覧表示したり、その中にある特定のJSONファイル（例: `translated-ids.json`、`error.json`など）を読み取ったりすることができてしまいます。

これらの操作が認証なしで実行できるため、誰でも簡単に悪用できてしまう点が非常に深刻です。皮肉にも、同じファイル内の他のエンドポイントでは安全なパス検証関数が使われていたにもかかわらず、脆弱なエンドポイントには適用されていませんでした。

脆弱性がもたらす深刻な影響：情報漏洩からRCEまで

この脆弱性により、以下のような深刻な影響が考えられます。

<ul><li><b>認証なしでの任意のディレクトリ作成・JSONファイル書き込み</b>: サーバーのファイルシステム上のどこにでも、攻撃者が制御するディレクトリやファイルを配置できます。</li><li><b>認証なしでの任意のディレクトリリスト表示・JSONファイル読み取り</b>: サーバーのファイルシステム構造、存在するファイル名、設定ファイルやログなどの機密情報が含まれるJSONファイルを盗み見られます。</li><li><b>リモートコード実行 (RCE) の可能性</b>: 最悪のシナリオです。これらの組み合わせにより、攻撃者がcronジョブの設定ファイルやNode.jsのモジュールパスなど、システムの重要な場所に悪意のあるファイルを書き込むことに成功した場合、最終的にサーバー上で任意のコードが実行され、システムが完全に乗っ取られる深刻なリスクがあります。</li></ul>

特にRCEは、データの改ざん、情報の窃取、更には他のシステムへの攻撃の踏み台にされるなど、計り知れない損害をもたらす可能性があります。開発環境やステージング環境でも、設定ファイルや認証情報が漏洩するリスクがあるため、軽視できません。

私たちフロントエンドエンジニアができる対策と意識すべきこと

もしSaltcornをバックエンドとして利用している場合、以下の対策を直ちに実行してください。

<ul><li><b>最新バージョンへのアップデート</b>: 提供元からセキュリティ修正がリリースされている場合は、速やかにSaltcornを最新の修正済みバージョンにアップデートすることが最も効果的です。</li><li><b>安全なパス検証関数の適用</b>: 脆弱な両方のエンドポイント（`/sync/offline_changes`と`/sync/upload_finished`）に、既存の安全なパス検証関数`File.normalise_in_base()`を適用し、パス横断攻撃を防ぐようにしてください。</li><li><b>認証ミドルウェアの追加</b>: サーバーの状態を変更する可能性のあるエンドポイントには、必ず`loggedIn`のような認証ミドルウェアを追加し、認証されたユーザーのみがアクセスできるようにしてください。</li></ul>

また、Saltcornを使っていなくても、フロントエンドエンジニアとして常にセキュリティ意識を持つことが重要です。

<ul><li><b>API設計レビューへの参加</b>: バックエンドのAPIがどのような入力値を受け取り、どのように処理するのか、可能な限り設計レビューに参加しましょう。特にファイルパスやファイル名、その他ユーザー入力を受け取るエンドポイントは要注意です。</li><li><b>入力値検証の徹底</b>: バックエンド任せにせず、フロントエンドでも可能な限り入力値のサニタイズやバリデーションを行い、不正なデータが送信されないように努めましょう。もちろん、バックエンドでの最終的な検証は必須です。</li><li><b>開発環境・CI/CDのセキュリティ</b>: 開発環境やCI/CDパイプラインで使用されるモジュールやフレームワークも常に最新の状態に保ち、既知の脆弱性がないかチェックする習慣をつけましょう。</li><li><b>セキュリティに関する継続的な学習</b>: 今回のようなバックエンドの脆弱性も、フロントエンドの視点から理解することで、よりセキュアなアプリケーション開発に貢献できます。</li></ul>

まとめ

今回のSaltcornのパス横断脆弱性は、単一のコードの不備がシステム全体を危険にさらす典型的な例です。JavaScriptの`path.join()`のような身近な関数でも、使い方を誤ると重大なセキュリティホールになり得ることを再認識させられます。フロントエンドとバックエンドの境界が曖昧になっている現代のWeb開発において、私たちエンジニア一人ひとりがセキュリティに対する高い意識を持ち、チーム全体で協力して安全なシステムを構築していくことが何よりも重要です。常に最新のセキュリティ情報をキャッチアップし、自身の担当領域だけでなく、システム全体を見通す目を養っていきましょう。