esm.sh はフルレスポンス SSRF に脆弱です

このSSRF脆弱性は、攻撃者がesm.shを経由して内部ネットワークにアクセスすることを可能にします。攻撃者は、内部ウェブサイトのファイルやAPIを読み出し、機密情報を盗み出す可能性があります。例えば、内部の管理コンソールやデータベースへのアクセスを試み、認証情報を取得したり、データを改ざんしたりする可能性があります。この脆弱性は、内部ネットワークの境界を突破し、より広範なシステムへの攻撃の足がかりとなる可能性があります。攻撃者は、内部ネットワーク内の他のシステムをスキャンし、さらなる脆弱性を発見する可能性があります。

Organizations heavily reliant on esm.sh for JavaScript module resolution, particularly those with sensitive internal resources accessible via HTTP, are at risk. Environments with less stringent network segmentation policies are also more vulnerable, as an attacker could potentially leverage the SSRF to reach deeper into the internal network.

• linux / server:

journalctl -u esm-sh -g 'SSRF' | grep -i 'local.site'

• generic web:

curl -I https://esm.sh/https://local.site/test.md | grep -i 'local.site'

1. 2026-02-25Disclosure

   disclosure

1. 予約済み2025-06-13
2. 公開日2026-02-25
3. 更新日2026-02-28
4. EPSS 更新日2026-03-23

この脆弱性に対する直接的な修正は、esm.shのバージョンを0.0.0-20250616164159-0593516c4cfaにアップデートすることです。アップデートが利用できない場合は、リバースプロキシやWAFを使用して、esm.shへのアクセスを制限し、悪意のあるリクエストをフィルタリングすることを検討してください。特に、ファイル拡張子（.js, .ts, .mjs, など）を含むリクエストを厳しく監視し、ブロックすることが重要です。また、内部ネットワークへのアクセスを最小限に抑えるように、ネットワークセグメンテーションを強化することも有効です。