午前2時14分のP0アラート：CORSが失敗したとき
午前2時14分、静寂を切り裂いてスマホの「重大なアラート」が鳴り響きました。セキュリティ研究者から、メインのREST APIにCVSS 9.8の脆弱性があるというレポートが届いたばかりでした。Cross-Origin Resource Sharing（CORS）の欠陥を悪用することで、ログイン中のあらゆるユーザーのPII（個人を特定できる情報）——住所やクレジットカードのトークンの一部など——にアクセスできるというものでした。必要なのは、捨てドメインでホストされた、たった1つの悪意のあるスクプトだけでした。
ステージング環境のデプロイを待つ間、管理者資格情報をローテーションする必要がありました。私は toolcraft.app/ja/tools/security/password-generator
