// 脆弱性スポットライト
What FixVibe checksin AI-built apps.
Security checks for apps built with Lovable, Bolt, v0, Cursor and other AI coding tools: Supabase and Firebase access rules, leaked secrets, security headers and more. 230+ checks run on every URL scan, 130+ more on verified domains and 190+ on connected GitHub repos.
01 / 07
Backend-as-a-Service
Firebase セキュリティルール
`allow read, write: if true` は今この瞬間、誰かの本番データベースです。
スポットライトを読む →
Supabase Row-Level Security
公開テーブル全部にRLSがなければ、anonキーは何でも読める通行証になります。
スポットライトを読む →
Clerk と Auth0 の設定
ID プロバイダーは、デフォルト値を絞り込まないと必要以上に漏れます。
スポットライトを読む →
Supabase Storage and API Posture
Public buckets and anon-listable objects are where BaaS data leaks start.
スポットライトを読む →
02 / 07
シークレット
JavaScriptバンドル内のシークレット
クライアントバンドルに含まれていれば、それはシークレットではなく公開物です。
スポットライトを読む →
JWT 完全性 (alg confusion、弱いシークレット)
JWT検証器がトークン自身のヘッダーを信頼すれば、攻撃者が書いたものを何でも信じてしまいます。
スポットライトを読む →
ブラウザストレージ内のトークン
localStorageはJavaScriptから読み取り可能です。そこに保存された認証トークンは設計上XSSで盗まれます。
スポットライトを読む →
公開されたソースマップ
.mapファイルが公開されていれば、攻撃者はあなたのTypeScriptを読んでいます。
スポットライトを読む →
JavaScript内の情報漏洩
内部APIホスト、バージョンバナー、TODOコメント — 小さな漏洩が積み重なってスタックの地図になります。
スポットライトを読む →
03 / 07
HTTP & 表面
セッションCookie属性
HttpOnly、Secure、SameSite — セッションCookieを攻撃者が簡単には盗めないものに変える3つのフラグです。
スポットライトを読む →
HTTPセキュリティヘッダー
ヘッダーは無料の防御策ですが、多くのアプリは今もこれなしで出荷されています。
スポットライトを読む →
TLS設定
古い暗号スイートとHSTS欠如が組み合わさると、敵対的なWi-Fi一つでセッションが乗っ取られます。
スポットライトを読む →
Vercel Deployment Protection
Generated deployment URLs should not become public staging doors.
スポットライトを読む →
04 / 07
アクティブプローブ
テナント間データ漏洩
テナントID強制のないマルチテナントSaaSは、組織間で顧客データが漏れます。
スポットライトを読む →
JWT alg=none Acceptance
A decoded token is not an authenticated identity.
スポットライトを読む →
OSコマンドインジェクション
ユーザー入力がシェルコマンドの一部になった瞬間、シェルは攻撃者が書いたものを何でも実行します。
スポットライトを読む →
サーバーサイドテンプレートインジェクション (SSTI)
テンプレートエンジンがユーザー入力をテンプレートとして扱うと、サーバーはユーザー入力をコードとして扱います。
スポットライトを読む →
SQLインジェクション
ユーザー入力がクエリの一部になった瞬間、データベースはあなたのものではなくなります。
スポットライトを読む →
認証フローの欠陥
ログイン、サインアップ、パスワードリセット — 実際のアカウント乗っ取りはほとんどここで起こります。
スポットライトを読む →
ブラインド SSRF (Out-of-Band)
サーバーがユーザー提供のURLを取得するなら、ユーザーは内部サービスを取得させられます。
スポットライトを読む →
CORS設定ミス
緩い Access-Control-Allow-Origin に認証情報まで加わると、あなたのAPIはみんなのAPIになります。
スポットライトを読む →
URLフラグメント経由のDOM型XSS
現代のSPAは location.hash を読んでDOMに書き込みます — 攻撃者のペイロードも一緒に乗ります。
スポットライトを読む →
ファイルアップロード検証
ユーザーがアップロードしたファイルは任意のバイトです — チェックなしに「画像」として受け入れるのはRCEを呼ぶ行為です。
スポットライトを読む →
GraphQLの深さ爆撃とバッチバイパス
GraphQLの柔軟性は脆弱性でもあります — 深さ爆弾、エイリアスバッチング、フィールド提案リーク。
スポットライトを読む →
HTTPリクエストスマグリング
フロントエンドプロキシとバックエンドが1つのリクエストの終端で意見が合わないと、攻撃者がその継ぎ目に乗ります。
スポットライトを読む →
IDOR / BOLA
APIがクライアントが正しいIDを送ると信頼すれば、クライアントは任意のIDを送れます。
スポットライトを読む →
LLMプロンプトインジェクション
AI機能がユーザー入力を指示として信頼すれば、ユーザーはシステムプロンプトを書き換えられます。
スポットライトを読む →
NoSQLオペレータインジェクション
ユーザー制御のJSONに入ったMongoDB風の演算子が、クエリをワイルドカードに変えます。
スポットライトを読む →
反射型クロスサイトスクリプティング (XSS)
静かな乗っ取り — サニタイズされていないパラメータ一つで、攻撃者のコードがユーザーのブラウザで実行されます。
スポットライトを読む →
XML外部エンティティ (XXE)
XMLパーサーが外部エンティティを解決するなら、サーバーは攻撃者のためにファイルを読みます。
スポットライトを読む →
アカウント列挙
メールが存在する場合とそうでない場合でログインの応答が異なれば、攻撃者は顧客リストを構築できます。
スポットライトを読む →
CRLF / レスポンス分割
ユーザー入力がレスポンスヘッダーに着地すると、改行で攻撃者が独自のヘッダーを書けます。
スポットライトを読む →
CSRF保護
状態を変更するエンドポイントがCSRFトークンを要求しなければ、サードパーティのサイトがあなたのユーザーとして行動できます。
スポットライトを読む →
レート制限の欠如
認証エンドポイントにレート制限がなければ、攻撃者は回線速度でクレデンシャルスタッフィングできます。
スポットライトを読む →
Next.js Header Configuration Drift
Headers set on `/` do not always protect nested routes.
スポットライトを読む →
オープンリダイレクト
宛先を検証しない /redirect?url=… はそのままフィッシングキットになります。
スポットライトを読む →
ChromaDB Python Backend RCE Advisory
A self-hosted ChromaDB on the Python backend can run attacker code before login.
スポットライトを読む →
05 / 07
ソースコード
Committed AI-Generated Secrets
AI snippets should not ship provider keys into git.
スポットライトを読む →
リスクのあるソースコードパターン
eval()、dangerouslySetInnerHTML、ハードコードされたシークレット — SASTが25年捕捉してきたパターンです。
スポットライトを読む →
Supabase RLS in Migrations
A public table without RLS is a future data leak.
スポットライトを読む →
脆弱な依存関係
あなたの package-lock.json には数千のパッケージが含まれます。一部は既知のCVEを持っています。
スポットライトを読む →
Webhook署名検証
Webhookハンドラーが署名を検証しなければ、誰でもイベントを偽造できます。
スポットライトを読む →
AI-Generated Code Guardrails
Fast AI-assisted changes need repo-level security rails.
スポットライトを読む →
リポジトリのセキュリティ衛生
ブランチ保護、アクションのピン留め、シークレット衛生 — リポの運営方法はコードより重要です。
スポットライトを読む →
AVideo Command Injection Advisory
An outdated AVideo Composer dependency can expose video-link import paths to command execution risk.
スポットライトを読む →
deephas Prototype-Pollution Advisory
A vulnerable deephas dependency can put deep-path object handling on a prototype-pollution path.
スポットライトを読む →
Ghost Content API SQL Injection Advisory
A vulnerable Ghost dependency can put public content APIs on the database boundary.
スポットライトを読む →
LiteLLM SQL Injection Advisory
A vulnerable LiteLLM Proxy version can turn API-key verification into database exposure.
スポットライトを読む →
NLTK Zip Slip Code Execution Advisory
A vulnerable NLTK downloader can turn compromised package archives into filesystem writes and code-execution risk.
スポットライトを読む →
TanStack ArkType Adapter Malware Advisory
Known malicious npm package versions can put CI and developer secrets at install-time risk.
スポットライトを読む →
vm2 Sandbox Breakout Advisory
A vulnerable JavaScript sandbox dependency can put untrusted-code boundaries at risk.
スポットライトを読む →
Compromised codfish GitHub Action
Release workflows should not keep pointing at compromised Action refs.
スポットライトを読む →
Gitea Composer Source-Link Permission Advisory
Pinned affected Gitea server images need a deployment upgrade.
スポットライトを読む →
Gogs Directory Traversal Dependency Advisory
An affected Gogs runtime can put file-upload path handling on a traversal boundary.
スポットライトを読む →
Gradio Windows Python Path Traversal Advisory
Gradio apps served from Windows on Python 3.13+ can leak files the app process can read.
スポットライトを読む →
Next.js WebSocket SSRF Dependency Advisory
Affected self-hosted Next.js servers need a framework upgrade.
スポットライトを読む →
PDF.js JavaScript Execution Advisory
A vulnerable PDF viewer can turn a malicious document into script execution.
スポットライトを読む →
PickleScan ZIP CRC Bypass Advisory
A vulnerable PickleScan dependency can miss malicious model archives when scans fail open.
スポットライトを読む →
ws Excessive-Header DoS Advisory
Affected ws server runtimes can crash when upgrade requests carry too many headers.
スポットライトを読む →
06 / 07
ディスカバリー
CVE 相互参照
検出されたバージョン + 公開CVEデータベース = すでに文書化された攻撃のリストです。
スポットライトを読む →
デバッグと管理者エンドポイント
Debug consoles and admin panels that should never be reachable from the internet.
スポットライトを読む →
公開されたファイルとバックアップディレクトリ
.env、.git、.DS_Store、backup.sql — 公開されてはいけないファイルが、うっかり公開されています。
スポットライトを読む →
Cloudflare オリジンとプロキシの姿勢
オリジンIPが発見可能なら、CloudflareのWAFは回避可能です。
スポットライトを読む →
GraphQLイントロスペクションの公開
本番環境でのイントロスペクションは、攻撃者にあなたの型システム全体を渡すことになります。
スポットライトを読む →
脅威インテリジェンス相互参照
Spamhaus DBL、URLhaus — 外から見たあなたのドメインの評判です。
スポットライトを読む →
公開されたAPIドキュメント
Public Swagger and OpenAPI docs are an API map for you and for the attacker.
スポットライトを読む →
Netlify固有の露出
Netlifyのデプロイプレビューurl、x-nf-* ヘッダー、_redirects のミスです。
スポットライトを読む →
プライバシーとCookieコンプライアンスマーカー
GDPRが求めるページ — 存在しリンクされていないと、苦情を受けるリスクがあります。
スポットライトを読む →
技術スタックのフィンガープリンティング
スタックを知ることは偵察の半分 — 古いフレームワークは残り半分を埋めます。
スポットライトを読む →
Vercel固有の露出
_next/static、x-vercel-* ヘッダー、プレビューURL — 必要以上に漏れるVercel特有の痕跡です。
スポットライトを読む →
07 / 07