FixVibeが実行するすべてのチェック、 解説します。

HTTPセキュリティヘッダー

ヘッダーは無料の防御策ですが、多くのアプリは今もこれなしで出荷されています。

スポットライトを読む →

中· CWE-326

TLS設定

古い暗号スイートとHSTS欠如が組み合わさると、敵対的なWi-Fi一つでセッションが乗っ取られます。

スポットライトを読む →

Vercel Deployment Protection

Generated deployment URLs should not become public staging doors.

スポットライトを読む →

02 / 07

シークレット

クリティカル· CWE-798

ハードコーディングされたシークレットパターン

Stripeキー、AWS認証情報、OpenAIトークン — パターンマッチングが簡単なミスを捕捉します。

スポットライトを読む →

クリティカル· CWE-798

JavaScriptバンドル内のシークレット

クライアントバンドルに含まれていれば、それはシークレットではなく公開物です。

スポットライトを読む →

高· CWE-345

JWT 完全性 (alg confusion、弱いシークレット)

JWT検証器がトークン自身のヘッダーを信頼すれば、攻撃者が書いたものを何でも信じてしまいます。

スポットライトを読む →

高· CWE-922

ブラウザストレージ内のトークン

localStorageはJavaScriptから読み取り可能です。そこに保存された認証トークンは設計上XSSで盗まれます。

スポットライトを読む →

中· CWE-540

公開されたソースマップ

.mapファイルが公開されていれば、攻撃者はあなたのTypeScriptを読んでいます。

スポットライトを読む →

クリティカル· CWE-754 / CWE-294

JavaScript内の情報漏洩

内部APIホスト、バージョンバナー、TODOコメント — 小さな漏洩が積み重なってスタックの地図になります。

スポットライトを読む →

03 / 07

Backend-as-a-Service

クリティカル· CWE-284

Firebase セキュリティルール

`allow read, write: if true` は今この瞬間、誰かの本番データベースです。

スポットライトを読む →

クリティカル· CWE-284

Supabase Row-Level Security

公開テーブル全部にRLSがなければ、anonキーは何でも読める通行証になります。

スポットライトを読む →

中· CWE-1390

Clerk と Auth0 の設定

ID プロバイダーは、デフォルト値を絞り込まないと必要以上に漏れます。

スポットライトを読む →

中· CWE-862

Supabase Storage and API Posture

Public buckets and anon-listable objects are where BaaS data leaks start.

スポットライトを読む →

04 / 07

DNS

高· CWE-321

Netmaker DNS Key Authorization Bypass

A VPN control-plane DNS API should not trust a legacy default key.

スポットライトを読む →

高· CWE-350

サブドメイン乗っ取り

未請求のクラウドリソースを指すCNAMEは、あなたのドメインでフィッシングをホストしてくださいという招待状です。

スポットライトを読む →

中· CWE-290

SPF / DKIM / DMARC

この3つのレコードがなければ、誰でもあなたになりすましてメールを送れます。

スポットライトを読む →

05 / 07

ディスカバリー

クリティカル· CWE-122

Arcserve UDP Heap Overflow Advisory

Backup management consoles should not expose affected UDP versions.

スポットライトを読む →

Schneider Modicon M221 Firmware Advisory

PLC firmware evidence should drive patch and segmentation review, not reboot or authentication replay tests.

スポットライトを読む →

高· CWE-1395

CVE 相互参照

検出されたバージョン + 公開CVEデータベース = すでに文書化された攻撃のリストです。

スポットライトを読む →

高· CWE-489

デバッグと管理者エンドポイント

/debug、/admin、/server-status — インターネットから到達できてはいけないパスです。

スポットライトを読む →

高· CWE-538

公開されたファイルとバックアップディレクトリ

.env、.git、.DS_Store、backup.sql — 公開されてはいけないファイルが、うっかり公開されています。

スポットライトを読む →

高· CWE-20

Rockwell MicroLogix 1100 DoS Advisory

An exposed PLC fingerprint is an operations risk, not something to crash-test.

スポットライトを読む →

高· CWE-20

SPIP Template RCE Version Exposure

Public SPIP version banners can reveal an RCE-class patch gap.

スポットライトを読む →

Checking Apache ActiveMQ Artemis for CVE-2023-50780

スポットライトを読む →

Checking Apache Airflow for CVE-2024-45498

スポットライトを読む →

Checking Apache Tomcat for CVE-2020-11996

スポットライトを読む →

Checking Claude Code GitHub Action workflow permissions

スポットライトを読む →

Checking codexui-android for token-stealing package versions

スポットライトを読む →

Checking cordova-plugin-inappbrowser for CVE-2019-0219

スポットライトを読む →

Checking DICOM files for executable preambles

スポットライトを読む →

Checking Django for CVE-2011-0696

スポットライトを読む →

Checking Drupal Core for CVE-2026-9082

スポットライトを読む →

Checking easy-day-js for Mastra npm incident package evidence

スポットライトを読む →

Checking Keras for CVE-2025-1550

スポットライトを読む →

Checking Langflow CORS exposure for CVE-2025-34291

スポットライトを読む →

Checking Log4j 1.2 JDBCAppender for CVE-2022-23305

スポットライトを読む →

Checking MindsDB version exposure for CVE-2026-27483

スポットライトを読む →

Checking MISP STIX import source for CVE-2018-19908

スポットライトを読む →

Checking Moby/Docker Go modules for CVE-2026-34040

スポットライトを読む →

Checking NGINX rewrite configurations for CVE-2026-42945

スポットライトを読む →

Checking NiceGUI upload source for CVE-2026-25732

スポットライトを読む →

Checking Nokogiri for CVE-2019-18197

スポットライトを読む →

Checking npm lockfiles for known typosquat package versions

スポットライトを読む →

Checking ONNX for CVE-2024-5187

スポットライトを読む →

Checking Paramiko for CVE-2018-7750

スポットライトを読む →

Checking proxy npm package for CVE-2023-2968

スポットライトを読む →

Checking Spring Data Commons and XMLBeam for CVE-2018-1259

スポットライトを読む →

Checking SQLitePCLRaw native SQLite packages for CVE-2025-6965

スポットライトを読む →

Checking vLLM for CVE-2024-9053

スポットライトを読む →

Checking WordPress REST API user exposure

スポットライトを読む →

Checking YOURLS for CVE-2019-14537

スポットライトを読む →

Cloudflare オリジンとプロキシの姿勢

オリジンIPが発見可能なら、CloudflareのWAFは回避可能です。

スポットライトを読む →

中· CWE-200

GraphQLイントロスペクションの公開

本番環境でのイントロスペクションは、攻撃者にあなたの型システム全体を渡すことになります。

スポットライトを読む →

脅威インテリジェンス相互参照

Spamhaus DBL、URLhaus — 外から見たあなたのドメインの評判です。

スポットライトを読む →

公開されたAPIドキュメント

/swagger.json、/openapi.json、/docs — あなたと攻撃者の両方に公開されたAPIマップです。

スポットライトを読む →

Netlify固有の露出

Netlifyのデプロイプレビューurl、x-nf-* ヘッダー、_redirects のミスです。

スポットライトを読む →

低· CWE-281

プライバシーとCookieコンプライアンスマーカー

GDPRが求めるページ — 存在しリンクされていないと、苦情を受けるリスクがあります。

スポットライトを読む →

技術スタックのフィンガープリンティング

スタックを知ることは偵察の半分 — 古いフレームワークは残り半分を埋めます。

スポットライトを読む →

Vercel固有の露出

_next/static、x-vercel-* ヘッダー、プレビューURL — 必要以上に漏れるVercel特有の痕跡です。

スポットライトを読む →

06 / 07

アクティブプローブ

AVideo Command Injection Advisory

An outdated AVideo Composer dependency can expose video-link import paths to command execution risk.

スポットライトを読む →

クリティカル· CWE-639

テナント間データ漏洩

テナントID強制のないマルチテナントSaaSは、組織間で顧客データが漏れます。

スポットライトを読む →

クリティカル· CWE-119 / CWE-120 / CWE-287 / CWE-306 / CWE-307

GeniXCMS Author SQL Injection Exposure

A legacy CMS author filter should not turn one parameter into SQL syntax.

スポットライトを読む →

クリティカル· CWE-345

JWT alg=none Acceptance

A decoded token is not an authenticated identity.

スポットライトを読む →

クリティカル· CWE-918

MagicMirror /cors SSRF Exposure

A smart-mirror helper endpoint should not become a network proxy.

スポットライトを読む →

Moxa NPort Firmware Advisory

A public device-server firmware banner should drive an upgrade, not a crash test.

スポットライトを読む →

クリティカル· CWE-798 / CWE-287

OSコマンドインジェクション

ユーザー入力がシェルコマンドの一部になった瞬間、シェルは攻撃者が書いたものを何でも実行します。

スポットライトを読む →

クリティカル· CWE-306

rclone RC Authentication Exposure

A public rclone Remote Control API should not answer unauthenticated fsinfo requests.

スポットライトを読む →

クリティカル· CWE-94

サーバーサイドテンプレートインジェクション (SSTI)

テンプレートエンジンがユーザー入力をテンプレートとして扱うと、サーバーはユーザー入力をコードとして扱います。

スポットライトを読む →

SiteOmat BOS Authentication Advisory

Fuel-station management software needs version and exposure review, not password guessing.

スポットライトを読む →

クリティカル· CWE-119 / CWE-121

SiteOmat CGI Buffer Overflow Advisory

Fuel-station controller CGI risk needs patch and exposure review, not exploit probes.

スポットライトを読む →

SiteOmat Login SQL Injection Advisory

Fuel-station login risk needs patch and exposure review, not authentication-bypass probes.

スポットライトを読む →

SQLインジェクション

ユーザー入力がクエリの一部になった瞬間、データベースはあなたのものではなくなります。

スポットライトを読む →

高· CWE-287

認証フローの欠陥

ログイン、サインアップ、パスワードリセット — 実際のアカウント乗っ取りはほとんどここで起こります。

スポットライトを読む →

高· CWE-918

ブラインド SSRF (Out-of-Band)

サーバーがユーザー提供のURLを取得するなら、ユーザーは内部サービスを取得させられます。

スポットライトを読む →

高· CWE-89

CKAN DataStore SQL Authorization Bypass

Public DataStore SQL access can turn open data APIs into private data exposure.

スポットライトを読む →

高· CWE-942

CORS設定ミス

緩い Access-Control-Allow-Origin に認証情報まで加わると、あなたのAPIはみんなのAPIになります。

スポットライトを読む →

高· CWE-79

URLフラグメント経由のDOM型XSS

現代のSPAは location.hash を読んでDOMに書き込みます — 攻撃者のペイロードも一緒に乗ります。

スポットライトを読む →

高· CWE-434

ファイルアップロード検証

ユーザーがアップロードしたファイルは任意のバイトです — チェックなしに「画像」として受け入れるのはRCEを呼ぶ行為です。

スポットライトを読む →

高· CWE-321

FUXA Hardcoded JWT Fallback Secret

Default token-signing secrets can turn an HMI login into a weak boundary.

スポットライトを読む →

高· CWE-74 / CWE-77

GL.iNet GL-MT3000 Firmware Advisory

A router firmware match should drive an upgrade, not a command-execution test.

スポットライトを読む →

高· CWE-770

GraphQLの深さ爆撃とバッチバイパス

GraphQLの柔軟性は脆弱性でもあります — 深さ爆弾、エイリアスバッチング、フィールド提案リーク。

スポットライトを読む →

高· CWE-444

HTTPリクエストスマグリング

フロントエンドプロキシとバックエンドが1つのリクエストの終端で意見が合わないと、攻撃者がその継ぎ目に乗ります。

スポットライトを読む →

高· CWE-639

IDOR / BOLA

APIがクライアントが正しいIDを送ると信頼すれば、クライアントは任意のIDを送れます。

スポットライトを読む →

高· CWE-200

IIS TRACK Method Information Disclosure

Legacy HTTP method echo behavior should be disabled before it can expose request headers.

スポットライトを読む →

高· CWE-264

Liferay Portal Template RCE Advisory

Legacy Liferay Portal version evidence should trigger patch verification.

スポットライトを読む →

高· CWE-77

LLMプロンプトインジェクション

AI機能がユーザー入力を指示として信頼すれば、ユーザーはシステムプロンプトを書き換えられます。

スポットライトを読む →

高· CWE-943

NoSQLオペレータインジェクション

ユーザー制御のJSONに入ったMongoDB風の演算子が、クエリをワイルドカードに変えます。

スポットライトを読む →

高· CWE-79

反射型クロスサイトスクリプティング (XSS)

静かな乗っ取り — サニタイズされていないパラメータ一つで、攻撃者のコードがユーザーのブラウザで実行されます。

スポットライトを読む →

高· CWE-307

Rockwell MicroLogix 1100 Authentication Advisory

Firmware evidence should drive an update and exposure review, not password-guessing tests.

スポットライトを読む →

高· CWE-611

XML外部エンティティ (XXE)

XMLパーサーが外部エンティティを解決するなら、サーバーは攻撃者のためにファイルを読みます。

スポットライトを読む →

高· CWE-200

ZoneMinder Directory Listing Exposure

A camera management UI should not publish its web root index.

スポットライトを読む →

中· CWE-203

アカウント列挙

メールが存在する場合とそうでない場合でログインの応答が異なれば、攻撃者は顧客リストを構築できます。

スポットライトを読む →

Checking gemini-mcp-tool for CVE-2026-0755

スポットライトを読む →

Checking Label Studio upload-example XSS exposure

スポットライトを読む →

Checking Langflow version exposure for CVE-2026-33017

スポットライトを読む →

Checking PowerLogic EGX exposure for CVE-2021-22765/CVE-2021-22767/CVE-2021-22768

スポットライトを読む →

Checking TLS endpoints for RC4 support

スポットライトを読む →

Checking TLS endpoints for Sweet32 DES/3DES support

スポットライトを読む →

Confirming Glances REST API unauthenticated exposure

スポットライトを読む →

Confirming Next.js middleware bypass exposure

スポットライトを読む →

Confirming SillyTavern SearXNG external-fetch SSRF exposure

スポットライトを読む →

Confirming TMT Lockcell login SQL injection exposure

スポットライトを読む →

中· CWE-113

CRLF / レスポンス分割

ユーザー入力がレスポンスヘッダーに着地すると、改行で攻撃者が独自のヘッダーを書けます。

スポットライトを読む →

中· CWE-352

CSRF保護

状態を変更するエンドポイントがCSRFトークンを要求しなければ、サードパーティのサイトがあなたのユーザーとして行動できます。

スポットライトを読む →

中· CWE-307

レート制限の欠如

認証エンドポイントにレート制限がなければ、攻撃者は回線速度でクレデンシャルスタッフィングできます。

スポットライトを読む →

Next.js Header Configuration Drift

Headers set on `/` do not always protect nested routes.

スポットライトを読む →

中· CWE-601

オープンリダイレクト

宛先を検証しない /redirect?url=… はそのままフィッシングキットになります。

スポットライトを読む →

中· CWE-79

SPIP valider_xml XSS Exposure

A legacy SPIP utility page should not reflect URL input into HTML.

スポットライトを読む →

07 / 07

ソースコード

クリティカル· CWE-1321

deephas Prototype-Pollution Advisory

A vulnerable deephas dependency can put deep-path object handling on a prototype-pollution path.

スポットライトを読む →

Ghost Content API SQL Injection Advisory

A vulnerable Ghost dependency can put public content APIs on the database boundary.

スポットライトを読む →

LibreNMS Command Injection Advisory

A vulnerable monitoring stack can become an execution path inside the network.

スポットライトを読む →

LiteLLM SQL Injection Advisory

A vulnerable LiteLLM Proxy version can turn API-key verification into database exposure.

スポットライトを読む →

クリティカル· CWE-94

NLTK Zip Slip Code Execution Advisory

A vulnerable NLTK downloader can turn compromised package archives into filesystem writes and code-execution risk.

スポットライトを読む →

openDCIM Command Injection Source Advisory

A database-controlled Graphviz path should not become a shell command.

スポットライトを読む →

クリティカル· CWE-506

TanStack ArkType Adapter Malware Advisory

Known malicious npm package versions can put CI and developer secrets at install-time risk.

スポットライトを読む →

クリティカル· CWE-913

vm2 Sandbox Breakout Advisory

A vulnerable JavaScript sandbox dependency can put untrusted-code boundaries at risk.

スポットライトを読む →

高· CWE-404

Apache Tomcat Coyote Resource-Shutdown Advisory

An affected Tomcat HTTP/2 runtime can turn reset behavior into resource exhaustion.

スポットライトを読む →

高· CWE-311

Apache Tomcat EncryptInterceptor Advisory

Exact affected Tomcat releases need an upgrade before cluster encryption assumptions are trusted.

スポットライトを読む →

高· CWE-200

Apache Tomcat h2c Request Mix-Up Advisory

Affected Tomcat h2c handling can put request data on the wrong response path.

スポットライトを読む →

高· CWE-502

Apache Tomcat Session-Persistence Advisory

Affected Tomcat runtimes become riskier when FileStore session persistence is enabled.

スポットライトを読む →

高· CWE-798

Committed AI-Generated Secrets

AI snippets should not ship provider keys into git.

スポットライトを読む →

高· CWE-506

Compromised codfish GitHub Action

Release workflows should not keep pointing at compromised Action refs.

スポットライトを読む →

高· CWE-77

electerm Install-Script Command Injection Advisory

A vulnerable terminal-client dependency can put build or developer hosts at install-time risk.

スポットライトを読む →

高· CWE-78 / CWE-306

electerm Unauthorized Command Execution Advisory

A stale electerm package can matter when the vulnerable service is packaged and running.

スポットライトを読む →

高· CWE-22

Gogs Directory Traversal Dependency Advisory

An affected Gogs runtime can put file-upload path handling on a traversal boundary.

スポットライトを読む →

高· CWE-22

Gradio Windows Python Path Traversal Advisory

A vulnerable Gradio dependency becomes a stronger signal when repo config points to Windows with Python 3.13+.

スポットライトを読む →

高· CWE-120

Mbed TLS Buffer-Overflow Advisory

Affected Mbed TLS 3.x source evidence deserves an upgrade, not exploit reproduction.

スポットライトを読む →

高· CWE-415

Mbed TLS Double-Free Advisory

Legacy Mbed TLS version evidence deserves branch-aware remediation.

スポットライトを読む →

高· CWE-457

Microsoft ATL MS09-035 Source Advisory

Legacy ATL build metadata deserves rebuild proof, not exploit reproduction.

スポットライトを読む →

高· CWE-611

OpenCms XXE Information-Disclosure Advisory

A vulnerable OpenCms dependency can put XML-processing routes on a file-read boundary.

スポットライトを読む →

高· CWE-787

OpenSSL CMS Message-Parsing Advisory

Affected OpenSSL branch evidence deserves a branch-aware runtime upgrade.

スポットライトを読む →

高· CWE-754

PDF.js JavaScript Execution Advisory

A vulnerable PDF viewer can turn a malicious document into script execution.

スポットライトを読む →

高· CWE-755

PickleScan ZIP CRC Bypass Advisory

A vulnerable PickleScan dependency can miss malicious model archives when scans fail open.

スポットライトを読む →

高· CWE-78

pyLoad /flashgot RCE Advisory

A vulnerable pyLoad dependency is patch-triage evidence, not proof of live RCE.

スポットライトを読む →

高· CWE-94

リスクのあるソースコードパターン

eval()、dangerouslySetInnerHTML、ハードコードされたシークレット — SASTが25年捕捉してきたパターンです。

スポットライトを読む →

高· CWE-22

SaltStack Salt Directory Traversal Advisory

A vulnerable Salt package can weaken Salt master authentication boundaries.

スポットライトを読む →

高· CWE-78

SAP Cloud SDK for AI Python Advisory

A vulnerable SAP Python SDK dependency is patch-triage evidence, not proof of live command execution.

スポットライトを読む →

高· CWE-770

Spring Data Commons Resource-Exhaustion Advisory

Affected Spring Data Commons dependencies can put property-path parsing on a DoS path.

スポットライトを読む →

高· CWE-284

Supabase RLS in Migrations

A public table without RLS is a future data leak.

スポットライトを読む →

高· CWE-91

veraPDF XSLT Injection Dependency Advisory

Affected veraPDF policy-file processing can put XSLT execution boundaries at risk.

スポットライトを読む →

高· CWE-1395

脆弱な依存関係

あなたの package-lock.json には数千のパッケージが含まれます。一部は既知のCVEを持っています。

スポットライトを読む →

高· CWE-345

Webhook署名検証

Webhookハンドラーが署名を検証しなければ、誰でもイベントを偽造できます。

スポットライトを読む →

高· CWE-476

ws Excessive-Header DoS Advisory

Affected ws server runtimes can crash when upgrade requests carry too many headers.

スポットライトを読む →

AI-Generated Code Guardrails

Fast AI-assisted changes need repo-level security rails.

スポットライトを読む →

中· CWE-295

Mbed TLS Certificate-Validation Advisory

Affected Mbed TLS 3.x evidence deserves upgrade and client-auth review.

スポットライトを読む →

中· CWE-1325

OpenSSL TLSv1.3 Session Memory-Growth Advisory

A vulnerable OpenSSL runtime plus no-ticket TLSv1.3 session handling can create DoS risk.

スポットライトを読む →

中· CWE-400

Oracle Java SE / GraalVM Runtime Advisory

Affected Oracle runtime metadata deserves an update, not DoS reproduction.

スポットライトを読む →

中· CWE-1357

リポジトリのセキュリティ衛生

ブランチ保護、アクションのピン留め、シークレット衛生 — リポの運営方法はコードより重要です。

スポットライトを読む →