Hashito.Blog

2026年7月15日にCISA KEVへ追加されたOracle E-Business SuiteのCVE-2026-46817（Oracle Payments、CVSS9.8、未認証）。実際の悪用が確認され900台超が露出しているとされる本脆弱性を整理し、自組織のEBSがインターネットから到達可能かを安全に外形確認する手順をまとめる。

フォーム入力の表記ゆれ（全角数字と半角数字の混在、半角カタカナ）を統一する全角半角変換を、英数字・記号・スペースのオフセット変換と、濁点・半濁点を合成する半角カタカナ変換まで含めてJavaScriptで実装する。ブラウザで完結する実装をそのまま試せる。

ログやコード片をJSONの値に埋め込むとき、ダブルクォートや改行を自前の置換で組むと制御文字やサロゲートペアで壊れる。JSON.stringifyの結果からクォートを剥がすだけで正しいエスケープが得られることを、壊れる例と一緒に手元で確かめる。

2026年7月14日にCISA KEVへ追加されたSonicWall SMA1000のゼロデイ2件。未認証SSRF(CVE-2026-15409, CVSS10.0)と認証後コードインジェクション(CVE-2026-15410)の連鎖を整理し、自組織の管理面がインターネットから到達可能かを外形から安全に確認する手順をまとめる。

「読み取ると発信画面が開く」「読み取るとWi-Fiに繋がる」QRコードは、tel:/WIFI:/mailto: というURIスキームをqrcode.jsでエンコードするだけで作れる。特にWIFI:の特殊文字エスケープに注意点があるので、サーバー不要でブラウザ完結の実装を手元で動かす。

UUID v4をランダムな主キーに使うとインデックスが断片化しやすい。先頭にタイムスタンプを持つUUID v7を数十行で実装し、なぜ挿入順に並ぶのか（同一ミリ秒の注意つき）を手を動かして確かめる。

libssh2 1.11.1以前の境界外書き込み(CVE-2026-55200)は悪意あるSSHサーバからの未認証RCEに至り得る。厄介なのは静的リンク。dpkg・ldd・stringsで自分の環境の影響範囲を実際に洗い出す手順。

セール速報サイトで一番怖いのは「実在しない割引を断定してしまう」こと。断定的な価格表現を検知し、確認日と出典URLが揃わない記事はビルドを落とす検証ゲートを、依存ゼロのNodeで組む。

正規のOIDCトークンで悪意あるnpmパッケージが公開される事件が続いた。自分のプロジェクトに汚染バージョンが混入していないか、npm ls・audit signatures・lockfile検査で確かめる手順を手元で動かす。

Xでバズった「数え続ける世界のナベアツbot」。3の倍数か3を含む数でアホになるルールを実装し、なぜ30万台で約17年もアホが続くのかを実際に数えて検証する。