はじめに：Node.jsアプリケーションを揺るがす深刻な脆弱性

日本のフロントエンドエンジニアの皆さん、こんにちは。今回は、Node.jsバックエンドでよく使われる`form-data-objectizer`ライブラリに発見された、非常に深刻な脆弱性（GHSA-m2hg-wjq3-28wq / CVE-2026-46510）について解説します。この脆弱性は「プロトタイプ汚染」と呼ばれるもので、Node.jsアプリケーションの根幹を揺るがしかねない危険性を持ちます。皆さんが直接Node.jsのコードを書かない場合でも、連携するAPIバックエンドがこの脆弱性の影響を受けている可能性があるため、そのメカニズムと対策を理解しておくことは非常に重要です。

脆弱性の詳細：プロトタイプ汚染とは？

`form-data-objectizer`ライブラリは、`name[sub]`のようなブラケット記法を用いたHTTPフォームデータを、ネストされたJavaScriptオブジェクトに変換するための便利なツールです。例えば、`user[name]=Alice&user[email]=alice@example.com`という入力を`{ user: { name: 'Alice', email: 'alice@example.com' } }`のように変換します。

しかし、このライブラリのバージョン`1.0.0`以下には、「プロトタイプ汚染 (Prototype Pollution)」という重大な脆弱性が存在します。これは、`__proto__`、`constructor`、`prototype`といったNode.jsのオブジェクトシステムにとって特別な意味を持つキーを、入力値として適切にフィルタリングしていないために発生します。

JavaScriptでは、すべてのオブジェクトが`Object.prototype`を継承しています。`Object.prototype`は、`toString()`や`hasOwnProperty()`など、すべてのオブジェクトが持つ共通のメソッドやプロパティを定義している場所です。プロトタイプ汚染とは、この`Object.prototype`を攻撃者が意図的に書き換えることで、そのNode.jsプロセス内で作成される**すべての**プレーンなオブジェクトに、攻撃者が注入したプロパティが継承されてしまう現象を指します。

攻撃のメカニズム

攻撃者は、悪意のあるフォームデータを送信することでこの脆弱性を悪用します。例えば、以下のような形式のデータを送信できます：

`__proto__[isAdmin]=true`

または

`constructor[prototype][dangerousProperty]=malicious_value`

`form-data-objectizer.toObject()`メソッドがこれらのキーを処理すると、Node.jsプロセス内の`Object.prototype`が直接書き換えられてしまいます。一度汚染されると、そのNode.jsワーカープロセスの寿命が尽きるまで汚染が持続し、以降に作成されるすべてのプレーンなオブジェクトが攻撃者の意図したプロパティ（例: `isAdmin: true`）を持つことになります。

この攻撃は、認証されていないHTTPフォーム送信を通じて実行可能であり、パース後のリクエストログには攻撃の痕跡が残りにくいため、検出が非常に困難であるという厄介な側面も持っています。

想定される深刻な影響

このプロトタイプ汚染は、Node.jsアプリケーションに広範かつ深刻な影響を及ぼす可能性があります。CVSSスコアは8.2（High）と評価されており、以下のような事態が想定されます：

- **権限昇格/認証回避**: `if (user.isAdmin)`のような権限チェックが、`Object.prototype`に`isAdmin: true`が注入されたことで常に`true`と評価され、未認証ユーザーが管理者権限を得る可能性があります。

- **情報漏洩**: 意図しない設定値や機密情報がオブジェクトに注入され、それが外部に漏洩する可能性があります。

- **サービス停止 (DoS)**: 他のライブラリの重要なプロパティが汚染され、アプリケーションがクラッシュしたり、予期せぬエラーを発生させたりしてサービス停止に追い込まれる可能性があります。

- **任意のコード実行**: 特定の条件下では、プロトタイプ汚染が任意のコード実行に繋がる可能性も指摘されています。

- **テンプレートレンダリングの破壊**: サーバーサイドレンダリングを使用している場合、テンプレートエンジンがオブジェクトを処理する際に汚染されたプロパティによって意図しない出力が行われる可能性があります。

影響を受けるバージョンと確認方法

この脆弱性の影響を受けるのは、`form-data-objectizer`ライブラリのバージョン`1.0.0`以下を使用しているすべてのNode.jsアプリケーションです。特に、受信したフォームデータを`form-data-objectizer.toObject()`メソッドで直接処理している場合が該当します。

ご自身のプロジェクトでこのライブラリが使用されているかを確認するには、`package.json`ファイルで`form-data-objectizer`が依存関係に含まれているかを調べてください。また、そのバージョンが`1.0.0`以下である場合は、潜在的なリスクがあります。

今すぐ取るべき対策

残念ながら、現在この脆弱性に対する公式なパッチはまだリリースされていません。そのため、ライブラリの利用側で暫定的な対策を講じる必要があります。

推奨される対策は、フォームキーのセグメントが`__proto__`、`constructor`、`prototype`のいずれかと一致する場合、そのキーを処理せずに拒否するか、スキップするロジックを実装することです。例えば、受信したフォームデータを`form-data-objectizer.toObject()`に渡す前に、以下のようなチェックを行うことが考えられます。

1. **予約済みキーのリストを定義**: `const restrictedKeys = new Set(['__proto__', 'constructor', 'prototype']);`

2. **入力のバリデーション**: フォームデータ（キー）をパースする前に、`restrictedKeys`に含まれる文字列が含まれていないかを確認し、含まれていた場合はエラーとして処理するか、そのキーを削除してから`toObject()`に渡す。

この暫定的な対策は、ライブラリのアップデートが提供されるまでの間、アプリケーションを保護するために不可欠です。具体的な実装方法はバックエンドの開発者と連携して進めることをお勧めします。

まとめ

`form-data-objectizer`におけるプロトタイプ汚染の脆弱性は、Node.jsアプリケーションのセキュリティを根本から脅かすものです。公式パッチが未リリースの状況では、開発者が能動的に防御策を講じることが求められます。皆さんのプロジェクトでこのライブラリが使用されていないか確認し、もし該当する場合は速やかに上記の暫定的な対策を適用してください。セキュリティはフロントエンド、バックエンドを問わず、開発者全員で取り組むべき課題です。常に最新の情報をチェックし、安全なアプリケーション開発を心がけましょう。