はじめに：なぜこの脆弱性が重要なのか

Webサイトのセキュリティにおいて、XSS（クロスサイトスクリプティング）は最も一般的な脆弱性の一つです。特に「格納型XSS」は、攻撃者がWebアプリケーションに悪意のあるスクリプトを永続的に保存し、そのページを訪れる全てのユーザーに対してスクリプトを実行させることを可能にするため、深刻な被害をもたらします。今回、ApostropheCMSのSEO関連パッケージである`@apostrophecms/seo`で、まさにこの格納型XSSの脆弱性（GHSA-wf43-fpp3-cf65 / CVE-2026-53608）が報告されました。

日本のフロントエンドエンジニアの皆さんも、CMSを利用したプロジェクトに関わることが多いでしょう。この脆弱性は、コンテンツ管理システム (CMS) の管理画面で設定される値が、適切にサニタイズされないままフロントエンドに反映される典型的な例であり、他ならぬ皆さんが関わるシステムの設計にも応用できる教訓を含んでいます。

脆弱性の詳細：何が問題だったのか

この脆弱性は、`@apostrophecms/seo`パッケージがGoogle AnalyticsトラッキングID（`seoGoogleTrackingId`）とGoogle Tag Manager ID（`seoGoogleTagManager`）の値を、フロントエンドの`<script>`タグ内に直接挿入する際に、不適切な処理を行っていたことに起因します。

問題のコードは、`node_modules/@apostrophecms/seo/lib/nodes.js` に存在します。このファイルでは、Google AnalyticsおよびGoogle Tag Managerの初期化スクリプトが生成されます。ここで、設定されたトラッキングIDがJavaScriptのテンプレートリテラル内に**何のサニタイズもなしに**直接埋め込まれていました。

具体的には、`gtag('config', '${global.seoGoogleTrackingId}');` のように、`global.seoGoogleTrackingId` の値がそのまま挿入される箇所や、Google Tag Managerの初期化部分で同様に`'${global.seoGoogleTagManager}'`が使われていました。ApostropheCMSのコアモジュールが、これらの生の値をそのままレンダリングする仕様であったため、悪意のあるJavaScriptコードがHTMLとして出力されることを許していました。

`seoGoogleTrackingId`と`seoGoogleTagManager`のフィールドは、`seo-fields-global/index.js`で単純な`type: 'string'`として定義されており、トラッキングIDとしての正しいフォーマットを強制するようなパターン、最小・最大長などのバリデーションが一切行われていませんでした。

さらに深刻なのは、この脆弱性を悪用するために管理者権限が必要ないという点です。ApostropheCMSの権限モデルでは、標準的なコンテンツ管理ロールである「エディター」レベルのユーザーでも、グローバルな設定値を編集・公開する権限が付与されている場合があります。これにより、攻撃者は通常のコンテンツ編集権限のみで、サイト全体に影響を及ぼすXSSペイロードを注入・公開できてしまいます。

攻撃のシナリオ：実際に何が起こるのか

概念実証（PoC）では、以下のステップで攻撃が成功することが示されています。

このシナリオは、単なるクッキー表示に留まらず、攻撃者が意図する任意のJavaScriptコードを実行できることを意味します。

深刻な影響：サイトとユーザーに及ぼす被害

この格納型XSS脆弱性が悪用された場合、以下のような深刻な被害が発生する可能性があります。

対策とフロントエンドエンジニアが実践すべきこと

この脆弱性に対処し、将来同様の問題を防ぐために、以下の対策とベストプラクティスを実践しましょう。

もし`@apostrophecms/seo`を使用している場合、この脆弱性に対応したバージョンへの速やかなアップデートを強く推奨します。セキュリティフィックスが含まれた最新バージョンに更新することが最優先です。

ユーザーが入力する値は、常に信頼できないものとして扱い、厳格なバリデーションを行うべきです。トラッキングIDのような特定のフォーマットが求められる入力には、正規表現などを用いて、期待される形式以外の文字を一切受け付けないように実装します。

例：`if (value && !/^(G-|UA-|GTM-)[A-Z0-9-]+$/i.test(value)) { throw new Error('Invalid tracking ID format'); }`

ユーザーからの入力値をHTMLやJavaScriptコード内に埋め込む際は、必ず適切なエスケープ処理を施す必要があります。生の値をそのまま出力することは絶対に避けるべきです。

JavaScript内に変数を挿入する場合は、`JSON.stringify()` を使用するのが安全です。これにより、特殊文字が正しくエスケープされ、スクリプトの構造が破壊されたり、悪意のあるコードが注入されたりするのを防ぎます。

例：`raw: `gtag('config', ${JSON.stringify(global.seoGoogleTrackingId)});``

CSPは、XSS攻撃による被害を軽減するための効果的なセキュリティメカニズムです。信頼できるソースからのみスクリプトやリソースが読み込まれるように指定することで、たとえXSS脆弱性が悪用されたとしても、ペイロードの実行や外部リソースへのアクセスを制限できます。

開発チーム全体でセキュリティ意識を高め、特にXSSに関する理解を深めることが重要です。コードレビュー時には、ユーザー入力の取り扱い、バリデーション、エスケープ処理が適切に行われているかを重点的に確認しましょう。

まとめ

今回の`@apostrophecms/seo`における格納型XSS脆弱性は、CMSのような複雑なシステムにおいて、たとえ管理画面の入力フィールドであっても、厳格なセキュリティ対策がいかに重要であるかを再認識させる事例です。フロントエンドエンジニアとして、私たちは単にUI/UXを実装するだけでなく、アプリケーション全体のセキュリティ、特にユーザーが直接触れる部分における安全性を確保する責任があります。

この情報を参考に、皆さんのプロジェクトにおいて、よりセキュアな開発を推進していきましょう。