ブログ · 17 ページ目
開発とデザイン、あとは雑記。
Cisco FMC の未認証 Java デシリアライズ RCE：CVE-2026-20131
CVSS 10.0、認証不要、root 権限でのコード実行。しかもランサムウェア集団が 36 日間ゼロデイとして使っていました。ファイアウォール管理の中枢が破られれば、すべてのポリシーとログも渡すことになります。
Astro islands で初回 JS をゼロに近づける
「非同期読み込み」を「必要な時だけハイドレート」まで分解し、3層の遅延読み込みがそれぞれ何を解決するのかを実コードで説明します。
Next.js のインクリメンタルキャッシュ経由のパストラバーサル RCE：CVE-2026-75604
エスケープされていないバックスラッシュ一つが、Windows 上でキャッシュを任意ファイルの読み書きに変えます。漏えいした Server Action の暗号鍵でリクエストを偽造し、React Flight のプロパティ連鎖から Function に到達します。
React Router のプロトタイプ汚染から RCE へ：CVE-2026-42211
turbo-stream v2 は TYPE_ERROR の復元でコンストラクタを動的に呼び出しながら、その出所を検証していません。アプリにプロトタイプ汚染が一つあればこの経路が Function に届き、中度の欠陥二つが RCE になります。
head の出典は一つ：SiteHead、JSON-LD のエスケープ、hreflang
三つの HTML シェルが一つのコンポーネントを共有し、head のタグをすべて出力します。データはサーバー層で組み立てます。JSON-LD の山括弧をエスケープする必要がある点も忘れずに。
静的サイトの公開は「フォルダを上げる」だけではない：キャッシュ、圧縮、正直な 404
静的ホスティングの罠はほぼ全部レスポンスヘッダーにあります。永久にキャッシュしてよいファイル、絶対にしてはいけないファイル、そして静的サイトが SPA 式フォールバックを使ってはいけない理由。