脆弱性診断を、AIエージェントで。
1エンドポイント3,300円（税込）から。

AI脆弱性診断 報告書

※ 掲載している診断対象・検出事項・件数はすべて説明用のダミーデータです。実際の診断結果ではありません。

1. 診断概要

対象システム

サンプル株式会社 会員向けWebサービス（架空）

リポジトリ

sample-inc/member-portal

診断環境

https://stg.example.com

診断対象

抽出したエンドポイント 24件のうち、ご指定の 12件

実施日

2026年11月10日

診断方法

AIエージェントによる自動診断。ソースコードから対象のエンドポイント・パラメータ・権限を抽出し、OWASP Top 10 / OWASP ASVS / IPA「安全なウェブサイトの作り方」の観点で攻撃シナリオを組み立てて実行

実行した検査

攻撃シナリオ 87件／リクエスト 1,436件

2. 重大度別の検出件数

3. 検出事項の一覧

• V-01Critical他ユーザーの注文情報を参照できる（IDOR）GET /api/orders/{id}
• V-02High検索パラメータによるSQLインジェクションGET /api/products?sort=
• V-03High一般ユーザーが管理者APIを呼び出せる（権限昇格）PATCH /api/admin/users/{id}
• V-04Mediumプロフィール表示名の格納型XSSPUT /api/me/profile
• V-05Mediumログイン後のリダイレクト先を任意に指定できるGET /login?next=
• V-06Lowエラー応答にスタックトレースが含まれるPOST /api/uploads
• V-07Infoセキュリティヘッダー（CSP）が未設定全体
• V-08InfoセッションCookieにSameSite属性がない全体

4. 検出事項の詳細（抜粋）

1. V-01Criticalアクセス制御の不備／OWASP A01:2021

   他ユーザーの注文情報を参照できる（IDOR）

   概要：注文詳細APIが、リクエストした利用者と注文の所有者が一致するかを確認していません。ログインした利用者であれば、IDを変えるだけで他の利用者の氏名・住所・注文内容を取得できます。
   攻撃シナリオ：利用者Aでログインし、利用者Bの注文IDを指定して注文詳細を取得する。
   再現手順：

   1. 利用者A（user-a@example.com）でログインし、セッションCookieを取得
   2. 利用者Bの注文ID（1002）を指定してリクエスト
   
   GET /api/orders/1002 HTTP/1.1
   Host: stg.example.com
   Cookie: session=<利用者Aのセッション>
   
   → HTTP/1.1 200 OK
     {"id":1002,"userId":"user-b","name":"（マスク）","address":"（マスク）", ...}

   該当箇所（推定）：src/routes/orders.ts の注文取得処理。取得条件がIDだけで、ログイン中の利用者IDを条件に含めていない。
   改修方法：注文の取得条件にログイン中の利用者IDを加え（例：where: { id, userId: session.userId }）、一致しない場合は404を返してください。同じ形のAPI（請求書など）も同様に確認してください。
2. V-02Highインジェクション／OWASP A03:2021

   検索パラメータによるSQLインジェクション

   概要：商品一覧APIの並び替えパラメータ sort が、SQLのORDER BY句に文字列連結で組み込まれています。
   再現手順：

   GET /api/products?sort=price,(SELECT CASE WHEN (1=1) THEN 1 ELSE 1/0 END)
   → 200 OK（条件を 1=2 にすると 500 エラー。条件により応答が変わる）

   改修方法：並び替えに使える列名を許可リストで定義し、リストにない値は既定の並び順にしてください。値をSQLに直接連結しないでください。

※ 実際の報告書では、すべての検出事項を同じ形式で記載します。

5. エンドポイント別の検査と結果（抜粋）

脆弱性が見つからなかった箇所も、何を試した結果なのかを記載します。

• POST /api/login検出なし

  SQLインジェクション、認証回避、ユーザー列挙、総当たり耐性試行 142件

• GET /api/orders/{id}検出あり（V-01）

  IDOR、権限昇格、パス・トラバーサル試行 96件

• GET /api/products検出あり（V-02）

  SQLインジェクション、反射型XSS、パラメータ改ざん試行 188件

• PUT /api/me/profile検出あり（V-04）

  格納型XSS、マスアサインメント、CSRF試行 121件

• POST /api/uploads検出あり（V-06）

  拡張子・MIME偽装、パス・トラバーサル、XXE、サイズ超過試行 134件

• POST /api/password/reset検出なし

  トークン推測、ユーザー列挙、Hostヘッダー改ざん試行 77件

6. 診断の前提・制約事項

• AIによる自動診断のため、誤検知・検知漏れを含む可能性があります。
• 業務仕様の理解が必要なビジネスロジック上の脆弱性は、一部しか検出できない場合があります。
• ソースコードは診断対象の抽出にだけ使用しており、ソースコード自体の静的解析は行っていません。
• 診断時点の環境に対する結果です。以降の変更は反映されません。