はじめに：バックエンドの脆弱性がなぜフロントエンドにも関係するのか？

こんにちは、フロントエンドエンジニアの皆さん。今回は、AIワークフロー自動化ツールFlowiseのバックエンドで発見された、深刻度「高 (high)」の脆弱性GHSA-gmmw-qg98-6j6p / CVE-2026-70476について解説します。一見するとバックエンドの脆弱性に見えますが、APIを介してユーザーと直接やり取りするフロントエンドの視点からも、この問題を理解し、今後の開発に活かすことは非常に重要です。特にStripeのような決済システムと連携するアプリケーションでは、セキュリティ設計の甘さが直接的な金銭的被害やサービス停止につながるため、開発者全員が意識すべき問題と言えるでしょう。

Flowiseの脆弱性概要と技術的詳細：不正なStripe課金操作

この脆弱性は、「Broken Access Control（アクセス制御の不備）」に分類されます。Flowiseのバックエンドには、組織の課金に関連する複数のAPIエンドポイントが存在します。具体的には、Stripeサブスクリプションのプラン変更 (`updateSubscriptionPlan`) や、追加シート数の変更 (`updateAdditionalSeats`) といった機能が該当します。

問題は、これらのエンドポイントがリクエストボディから直接 `subscriptionId`（Stripeのサブスクリプション識別子）を受け取り、その `subscriptionId` がリクエストを送信したユーザーの組織に属するかどうかを適切に検証していなかった点にあります。

詳細を見てみましょう。影響を受けたコードは、主に `packages/server/src/enterprise/routes/organization.route.ts` に定義されたルートと、`packages/server/src/enterprise/controllers/organization.controller.ts` に実装されたコントローラーです。例として、`updateSubscriptionPlan` メソッドでは、以下のように `subscriptionId` が検証なしにStripe連携レイヤーに渡されています。

```typescript public async updateSubscriptionPlan(req: Request, res: Response, next: NextFunction) { const { subscriptionId, newPlanId, prorationDate } = req.body const identityManager = getRunningExpressApp().identityManager const result = await identityManager.updateSubscriptionPlan( req, subscriptionId, newPlanId, prorationDate ) return res.status(StatusCodes.OK).json(result) } ```

このコードには、`subscriptionId belongs to req.user.activeOrganization` のような所有権検証が不足していました。そのため、攻撃者は認証済みの自身のセッションを使用しつつ、他社の `subscriptionId` を特定（例えば、組織読み取りエンドポイントなどから）してリクエストボディに含めることで、その企業のStripeサブスクリプションに対して不正な操作を実行できてしまうのです。具体的には、以下のような操作が可能でした。

これは、異なるテナント（組織）間での課金リソース操作を許してしまう、非常に影響の大きい認証の欠陥です。

なぜフロントエンドエンジニアもこの脆弱性を知るべきなのか？

「これはバックエンドのロジックの問題で、フロントエンドには関係ないのでは？」と感じるかもしれません。しかし、それは誤解です。この種の脆弱性から、フロントエンドエンジニアとして学ぶべき重要な教訓がいくつかあります。

この脆弱性から学ぶべき対策とベストプラクティス

今回の脆弱性は、アプリケーション全体でのセキュリティ意識を高める良い機会です。フロントエンドとバックエンド、それぞれの視点から対策を考えてみましょう。

まとめ

FlowiseにおけるStripe課金操作の脆弱性は、バックエンドのアクセス制御の不備が、直接的な金銭的損害やサービス停止につながる可能性を示しました。フロントエンドエンジニアも、ユーザーが操作するインターフェースを通じて送られるデータが、バックエンドでどのように扱われるかを深く理解し、セキュアなAPI設計や実装について、バックエンドチームと密に連携していくことが不可欠です。私たち一人ひとりがセキュリティ意識を高めることで、より安全なアプリケーションを開発していきましょう。