バグまとめ 概要 バグタイプ: SQLインジェクション（SQLi） 影響箇所: 内の メソッド 原因: 生クエリを使用しており、パラメータ化されたクエリやORMフレームワークを活用していないため、SQLインジェクションのリスクが生じています。 影響範囲 影響を受けるファイル: 影響を受ける機能: スキャン文字列に基づいてメンバー情報を取得する機能 潜在的リスク: 攻撃者が悪意のある入力を構成して任意のSQLコマンドを実行でき、データ漏洩やデータ改ざんなどのセキュリティ問題を引き起こす可能性があります。 修正方案 修正措置: - Propel ORMを使用し、生クエリを置き換えることで、SQLインジェクションのリスクを回避します。 - エンドポイントをアップデートし、存在しないユーザーに対する一般的な401応答を追加し、 および をチェックし、必要に応じて2要素認証（2FA）を強制実施します。 - 追加のログイン失敗シナリオ（401および404ステータスコード）をカバーするCypress E2Eテストを追加します。 POCコード その他情報 修正ステータス: マージ済み 修正日時: 先週 関連PR: #8607