[緊急警告] Nuxt OllamaモジュールにおけるAPIキー漏洩の脆弱性（CVE-2026-59158）について
はじめに：Nuxt Ollamaモジュール利用者へ緊急のお知らせ
NuxtアプリケーションでOllamaの連携を容易にする`nuxt-ollama`モジュールをご利用のフロントエンドエンジニアの皆さん、こんにちは。この度、`nuxt-ollama@1.2.26`以前のバージョンに、非常に深刻な脆弱性が報告されました（GHSA-fxg7-897c-57mp / CVE-2026-59158）。この脆弱性は、設定されたOllama APIキーがクライアントサイドに露出してしまうというもので、早急な対応が求められます。
脆弱性の概要：なぜAPIキーが公開されてしまうのか？
この脆弱性は、`nuxt-ollama@1.2.26`以前のバージョンにおいて、Ollama APIキー（`ollama.api_key`）がNuxtのランタイム設定のうち、**パブリックな**設定領域である`runtimeConfig.public.ollama`に誤って格納される設計ミスに起因します。
Nuxtのサーバーサイドレンダリング（SSR）の仕組みでは、`runtimeConfig.public`に指定された全ての値が、クライアントサイドでのハイドレーションのために、生成されるHTMLソースコード内の`<script>`タグ（具体的には`window.__NUXT__`オブジェクト）にシリアライズされて埋め込まれます。このため、Ollama APIキーはウェブブラウザの開発者ツールや簡単な`curl`コマンドなどを使って、認証なしで誰でもHTMLソースから平文で読み取ることができてしまいます。
攻撃シナリオと潜在的な影響
攻撃者は、漏洩したAPIキーを悪用し、あなたのOllamaクラウドAPIアカウントで任意のAPIリクエストを不正に実行することが可能になります。これにより、以下のような深刻な影響が想定されます。
<ul><li><b>意図しない利用料金の発生：</b>攻撃者によるAPIの不正利用により、高額な請求が発生する可能性があります。</li><li><b>サービス停止：</b>API利用制限の超過により、本来のアプリケーションがサービス停止に追い込まれる可能性があります。</li><li><b>データへの不正アクセス・流出：</b>キーに付与された権限によっては、保存されているモデルや会話データへの不正アクセス、最悪の場合、データ流出につながる可能性も否定できません。</li></ul>
この脆弱性は、公式ドキュメントに従ってクラウドOllamaモデル用に`api_key`を設定している全ての開発者・運用者に影響を与えます。特に注意すべきは、攻撃にユーザー認証が不要である点です。対象サイトにアクセスするだけでAPIキーが取得できてしまうため、広範なリスクが伴います。
対象となるバージョンと確認方法
この脆弱性の影響を受けるのは、`nuxt-ollama@1.2.26`以前のバージョンを使用しているプロジェクトです。`package.json`ファイルで`nuxt-ollama`のバージョンを確認し、該当する場合は直ちに対応を検討してください。
また、OllamaクラウドAPIを利用し、`ollama.api_key`をプロジェクト内で設定しているかどうかも確認ポイントです。
緊急対応！推奨される対策
APIキーは機密情報であり、クライアントサイドに露出させてはなりません。この脆弱性に対する最も根本的な対策は、`api_key`をNuxtの**プライベートな**ランタイム設定（`runtimeConfig.ollama`）で管理するように変更することです。
具体的には、以下の修正が提案されています。
<ul><li>`api_key`を`runtimeConfig.public.ollama`から分離し、サーバーサイドでのみアクセス可能な`runtimeConfig.ollama`に移動させます。</li><li>APIキーが必要な処理はサーバーサイドのAPIエンドポイントやミドルウェアに限定し、ブラウザから直接APIキーを利用する処理は削除または修正する必要があります。</li></ul>
これにより、APIキーがクライアントサイドのHTMLに埋め込まれることを防ぎ、安全性を確保できます。モジュールの今後のアップデートで修正される見込みですが、それまでの間は上記の手動での修正を強く推奨します。
まとめ：迅速な対応でセキュリティを確保しましょう
今回の脆弱性は、開発者が意図せず機密情報をクライアントサイドに公開してしまうリスクを改めて浮き彫りにしました。`nuxt-ollama`を利用している方は、今すぐプロジェクトを確認し、適切な対策を講じてください。
セキュリティはアプリケーション開発において最も重要な要素の一つです。今後も、Nuxtの`runtimeConfig.public`と`runtimeConfig.private`の使い分けや、APIキーなどの機密情報の管理には十分注意を払い、安全なアプリケーション開発を心がけましょう。