はじめに：locize SDKと今回の脆弱性概要

皆さん、こんにちは。日々進化するWeb開発の世界において、セキュリティは最も重要な要素の一つです。今回は、多言語対応を進めるプロジェクトで利用されることの多い**locizeクライアントSDK**に発見された、深刻度の高い脆弱性（GHSA-w937-fg2h-xhq2 / CVE-2026-41886）について解説します。

この脆弱性は、locize SDKが外部からのメッセージを処理する際のセキュリティチェックの甘さに起因し、悪用されるとWebサイトのコンテンツ改ざんやユーザー情報の漏洩につながる可能性があります。現在locize SDKを導入している方はもちろん、`window.postMessage` を利用したアプリケーションを開発しているフロントエンドエンジニアの方々も、ぜひご一読ください。

脆弱性の核心：`postMessage`のオリジン検証不備

現代のWebアプリケーションでは、異なるオリジン（ドメイン、プロトコル、ポートの組み合わせ）間で安全にデータをやり取りするために `window.postMessage` APIが頻繁に利用されます。このAPIは、メッセージ送信元のオリジンを `event.origin` プロパティで確認し、信頼できる送信元からのメッセージのみを処理することでセキュリティを確保するのが基本です。

しかし、locizeクライアントSDKのバージョン4.0.21より前のバージョンでは、この `event.origin` による厳格な検証が不十分でした。代わりに、メッセージペイロード内の `event.data.sender` という、攻撃者が容易に偽装可能な値のみをチェックしていたのです。これにより、信頼できないオリジンからの細工されたメッセージでも、SDKの内部ハンドラが実行されてしまう状況が生まれていました。

具体的な影響と深刻なリスク

この脆弱性が悪用された場合、以下のような極めて危険な攻撃が可能となります。

locize SDKには、翻訳コンテンツをHTML要素に直接挿入する `editKey` や `commitKeys` といったハンドラが存在します。脆弱なバージョンでは、攻撃者がこれらを悪用し、悪意のあるスクリプト（`<script>`タグ、`javascript:`スキームのURL、`onmouseover`などのイベントハンドラ）を注入することができました。これにより、サイトの見た目を改ざんしたり、ユーザーセッションを乗っ取ったり、ユーザーのブラウザ上で任意のJavaScriptコードを実行したりする「クロスオリジンDOM XSS」攻撃が成立する危険性がありました。

`isLocizeEnabled` ハンドラが悪用されると、SDKが翻訳内容や関連メタデータを送信する宛先（`api.source`, `api.origin`）を、攻撃者が制御する外部のURLに切り替えることができました。その結果、本来locizeのエディタに送られるべき、Webサイトの多言語コンテンツや、設定に含まれる可能性のある機密情報が、攻撃者のサーバーにそのまま漏洩してしまうリスクがありました。

`requestPopupChanges` ハンドラでは、エディタのポップアップウィンドウの高さや幅に関するCSS値が適切に検証されずに処理されていました。これにより、攻撃者が任意のCSSコードを注入し、ポップアップのレイアウトを崩すだけでなく、例えばCSSの特性を利用して非表示の情報を読み取る「CSS exfiltration」などの高度な攻撃を行う可能性も指摘されていました。

影響を受けるバージョンと緊急対応

この脆弱性は、**locizeクライアントSDKのバージョン4.0.21より前の全てのバージョン**に影響します。現在これらのバージョンを使用しているプロジェクトは、直ちにアップデートを検討してください。

非常に残念ながら、この脆弱性に対する**効果的なワークアラウンドは存在しません**。唯一かつ最も確実な対策は、SDKを最新バージョンにアップグレードすることです。

対策：バージョン4.0.21以上へのアップデート

この深刻な問題は、locize SDKの**バージョン4.0.21**で完全に修正されました。アップデートにより、以下のセキュリティ強化が図られています。

まとめと`postMessage`利用のベストプラクティス

今回のlocize SDKの脆弱性は、`window.postMessage` を用いた異なるオリジン間の通信において、**送信元オリジンの厳格な検証がいかに重要か**を改めて示す事例となりました。`event.data` の内容だけでなく、必ず `event.origin` を検証し、許可されたオリジンからのメッセージのみを処理する習慣を徹底しましょう。

最新版へのアップデートは非常に簡単です。`npm update locize` や `yarn upgrade locize` などのコマンドを実行し、プロジェクトの依存関係を最新に保つことで、このような潜在的な脅威からあなたのアプリケーションとユーザーを保護できます。常に最新のセキュリティ情報を追いかけ、安全なフロントエンド開発を心がけましょう。