はじめに：Node.jsとデータベース連携のセキュリティ

Node.jsは、フロントエンドエンジニアにとっても馴染み深いJavaScriptをバックエンドで活用できる強力なツールです。特にデータベースとの連携は、Webアプリケーション開発において不可欠な要素となります。しかし、その手軽さゆえに、データベース操作におけるセキュリティリスクへの配慮は非常に重要です。

今回、MariaDB Connector/Node.jsにおいてSQLインジェクションの脆弱性(CVE-2026-107384)が報告されました。この記事では、この脆弱性の詳細、影響、そして日本のフロントエンドエンジニアの皆さんが取るべき対応策について解説します。

CVE-2026-107384とは？：脆弱性の概要

この脆弱性(GHSA-v6pj-gxxw-phfw / CVE-2026-107384)は、MariaDB Connector/Node.jsに存在するSQLインジェクションの欠陥であり、深刻度は「High」と評価されています。具体的には、非デフォルトのオプション `permitSetMultiParamEntries` を有効にしている環境で発生します。

`permitSetMultiParamEntries` オプションは、クエリパラメータとして渡されたオブジェクトのキーをカラム名として、SET句に展開する機能を提供します。例えば、`UPDATE users SET ? WHERE id = ?` のようなクエリで、`?` に `{ name: 'Alice', email: 'alice@example.com' }` といったオブジェクトを渡すと、`SET name = 'Alice', email = 'alice@example.com'` のように展開されます。この機能自体は開発の利便性を高めますが、今回の脆弱性はこの展開処理に問題がありました。

詳細解説：なぜSQLインジェクションが発生したのか？

問題の根源は、オブジェクトのキーをカラム名として展開する際に、適切なエスケープ処理が行われていなかった点にあります。SQLにおいて識別子（カラム名やテーブル名など）は通常バッククォート(` `` `)で囲まれます。この脆弱性では、キーを展開するコードが手動でバッククォートを生成しており、その際にバッククォート文字自体が含まれるキーを適切にエスケープできていませんでした。

MariaDB Connector/Node.jsには、本来識別子を正しくエスケープするための `escapeId` 関数が存在します。しかし、この `permitSetMultiParamEntries` オプションに関連する3つのコードパスでは、`escapeId` が使用されず、不完全な手動エスケープ処理が用いられていました。これにより、攻撃者がオブジェクトのキーにバッククォートを含んだ悪意のある文字列（例: `name`` = '...' WHERE id = 1; --`）を挿入すると、バッククォートが閉じられ、その後の文字列が任意のSQLとして解釈されてしまう可能性がありました。

この脆弱性がもたらす影響

このSQLインジェクション脆弱性が悪用されると、攻撃者は以下のような重大な影響を引き起こす可能性があります。

<ul><li>**意図しないカラムへの書き込み:** アプリケーションが公開する意図のないカラム（例：ユーザーの権限レベルを示す `role`、口座残高を示す `balance`、ハッシュ化された `password` など）に、攻撃者が任意の値を書き込むことができます。</li><li>**任意のSQLコマンドの実行:** SQLインジェクションにより、元のSQLステートメントに任意のSQLクエリを追記し、実行させることが可能です。これにより、データベースからの機密情報漏洩、データの改ざん、データの削除といった甚大な被害が発生する恐れがあります。</li></ul>

特に、ユーザーからの入力（例えばHTTPリクエストボディ）を直接、あるいは間接的にオブジェクトキーとして`query()`関数に渡しているようなアプリケーションでは、深刻な被害を受けるリスクが高いと言えるでしょう。

あなたのプロジェクトへの影響確認と対応策

この脆弱性の影響を受けるかどうか、そしてどのように対応すべきかを確認しましょう。

MariaDB Connector/Node.jsを使用しており、かつ**`permitSetMultiParamEntries`オプションを明示的に有効にしている**場合、影響を受けます。このオプションはデフォルトでは無効になっています。

もしこのオプションを有効にしていない場合は、オブジェクトは単一の文字列リテラルとしてシリアライズされ、エスケープされるため、この脆弱性の影響は受けません。しかし、セキュリティのベストプラクティスとして、以下の対応を検討することをお勧めします。

最も確実な解決策は、MariaDB Connector/Node.jsを修正済みのバージョンにアップデートすることです。すべての影響を受ける拡張サイトで、オブジェクトキーが正しく識別子エスケープ（`escapeId`）を通るように修正されています。

<ul><li>**`permitSetMultiParamEntries`を無効にする:** このオプションはデフォルトで無効になっています。もし有効にしているのであれば、無効に戻すことで、この脆弱性のリスクを排除できます。</li><li>**オブジェクトキーの厳格な検証:** `query()`関数に渡す前に、オブジェクトのキーが許可されたカラム名のリスト（ホワイトリスト）に含まれているかを厳格に検証してください。これにより、不正なキーがデータベースクエリに渡されることを防ぎます。</li></ul>

まとめ

MariaDB Connector/Node.jsのSQLインジェクション脆弱性(CVE-2026-107384)は、特定の条件で重大なセキュリティリスクをもたらす可能性があります。特に`permitSetMultiParamEntries`オプションを有効にしている開発者は、速やかにライブラリのアップデートを行うか、推奨される回避策を適用してください。

フロントエンドエンジニアがバックエンドのコードにも関わる機会が増えている現代において、このようなデータベース関連の脆弱性にも注意を払い、常に最新のセキュリティ情報をキャッチアップし、安全なコードプラクティスを心がけることが重要です。あなたのアプリケーションとユーザーを脅威から守るためにも、今一度、データベース連携部分のコードを見直してみましょう。