HIGHフレームワーク・CMSCVE-2026-3390公表日: 2026年10月08日 11:00 JST
モダンSSRフレームワークにおけるServer Actionsおよび内部環境変数の意図しない公開リスク
● OFFICIAL REFERENCE SOURCE / 一次情報源
元ソース（公式発表）を見るJVN iPedia (脆弱性対策情報データベース)
脆弱性・インシデントの概要
Next.jsやNuxt等のモダンなサーバーサイドレンダリング（SSR）フレームワークを採用しているWebサイトにおいて、クライアントコンポーネントとサーバーコンポーネントの境界定義の誤りにより、内部APIキーやプライベート環境変数がフロントエンドのJavaScriptバンドル内に不用意に埋め込まれる事例が多数観測されています。
想定される事業・セキュリティ影響
クラウドインフラの管理者キー、社内APIトークン、決済ゲートウェイの秘密鍵などの漏洩と、それに伴う不正アクセス被害。
影響を受ける対象システム・バージョン
Next.js (App Router), Nuxt 3 等を採用し、環境変数の接頭辞（NEXT_PUBLIC_等）や境界保護（server-only等）が徹底されていないWebアプリケーション
推奨される是正対策・アクション
ビルド出力生成物の自動シークレットスキャンをCI/CDに導入し、サーバー専用モジュールには明示的に server-only パッケージを指定してブラウザ側への漏洩を遮断してください。
自社Webサイトにも同様のセキュリティ不備はありませんか？
HACHI（蜂）は攻撃者の偵察視点から、SSL/TLS設定・HTTPヘッダー・SPF/DMARCなどの潜在リスクを非侵入・即時で無料診断します。
自社サイトを無料で即時診断する→