Critical リスク
6カテゴリSQLインジェクション
このまま放置すると、攻撃者がデータベース内の全顧客情報を取得できる可能性があります。
パストラバーサル
このまま放置すると、設定ファイルや秘密情報が外部から読み取られる可能性があります。
コマンドインジェクション
このまま放置すると、攻撃者がサーバーを自由に操作できる状態になる可能性があります。
SSRF（サーバーサイドリクエストフォージェリ）
このまま放置すると、外部から社内ネットワーク内のシステムへアクセスされる可能性があります。
安全でないデシリアライゼーション
このまま放置すると、信頼できないデータのデシリアライズにより、任意のコードが実行される可能性があります。
サーバーサイドテンプレートインジェクション（SSTI）
このまま放置すると、テンプレートエンジンへの不正入力により、サーバー上で任意のコードが実行される可能性があります。
High リスク
17カテゴリAPIキー・秘密情報の直接記述
このまま放置すると、ソースコードに埋め込まれた認証情報が第三者に悪用される可能性があります。
クロスサイトスクリプティング（XSS）
このまま放置すると、サービス利用者のアカウントが第三者に乗っ取られる可能性があります。
CSRF（クロスサイトリクエストフォージェリ）
このまま放置すると、ログイン中のユーザーが悪意あるサイトを開くだけで、本人の意図しない操作（送金・設定変更等）を実行される可能性があります。
.envファイルのGit管理
このまま放置すると、.envに含まれるAPIキーやパスワードがGitリポジトリ経由で第三者に流出する可能性があります。
脆弱な依存パッケージ
このまま放置すると、公開済みの脆弱性を突かれ、攻撃の入り口として悪用される可能性があります。
JWTの危険な設定
このまま放置すると、JWTの検証設定の不備により、ログイントークンを偽造され、他人になりすまされる可能性があります。
ORMインジェクション
このまま放置すると、ORM経由で不正な検索条件を注入され、本来見えないデータを取得・改ざんされる可能性があります。
マスアサインメント（一括代入）
このまま放置すると、更新を想定していない項目（管理者フラグ等）まで一括で書き換えられ、権限を奪われる可能性があります。
Gitコミット履歴への機密情報コミット
このまま放置すると、現在は削除済みでも、Gitの過去履歴に残った認証情報を辿られて悪用される可能性があります。
コンテナ特権モード（privileged）
このまま放置すると、コンテナがホストカーネルへのフルアクセス権を持ち、コンテナ脱出や全ホストシステムの乗っ取りが可能になります。
IaCファイルへの機密情報ハードコード
このまま放置すると、APIキーやパスワードがコンテナイメージに焼き込まれ、イメージを取得した第三者に機密情報が漏洩する可能性があります。
GitHub Actions インジェクション
このまま放置すると、ワークフロー内でユーザー入力が未検証のまま実行され、任意コードがCI環境で動作してシークレットが盗まれる可能性があります。
XXE（XML外部エンティティ）インジェクション
このまま放置すると、XML処理の脆弱性により、サーバー内部のファイルが外部に読み取られる可能性があります。
Terraform: S3バケットの公開アクセス
このまま放置すると、保存ファイルがインターネット全体に公開され、誰でも内部データを閲覧できる状態になる可能性があります。
Terraform: セキュリティグループの全開放
このまま放置すると、セキュリティグループが全開放され、外部の誰からでもサーバーへ直接アクセスされる可能性があります。
Terraform: IAMワイルドカード権限
このまま放置すると、ワイルドカード権限により、認証情報を奪われた際にクラウド環境全体を操作される可能性があります。
Terraform: RDS公開アクセス設定
このまま放置すると、データベースがインターネットに公開され、外部から直接接続を試みられる可能性があります。
Medium リスク
11カテゴリCORS設定ミス
このまま放置すると、悪意のあるWebサイトからユーザーのデータが操作される可能性があります。
オープンリダイレクト
このまま放置すると、攻撃者が正規URLを使ってフィッシングサイトに誘導できる可能性があります。
安全でないログ出力
このまま放置すると、機密情報がログに記録される、または外部入力によってログが改ざん（ログインジェクション）される可能性があります。
プロトタイプ汚染
このまま放置すると、攻撃者がアプリケーションの動作を意図的に改変できる可能性があります。
フレームワーク設定ミス（Debug/ALLOWED_HOSTS）
このまま放置すると、デバッグモードや許可ホスト設定の不備により、内部情報が外部に露出する可能性があります。
rootユーザーでのコンテナ実行
このまま放置すると、アプリに脆弱性があった場合にコンテナ内で最高権限が行使でき、侵害の影響範囲が広がります。
ホストネットワーク/PID namespace の使用
このまま放置すると、コンテナがホストのネットワークやプロセスを直接参照でき、他コンテナへの横断侵害が容易になります。
過剰な Linux Capability の付与
このまま放置すると、不要なカーネル権限が付与されることで、コンテナ侵害時にホストへの影響が拡大します。
全インターフェースへのポート公開
このまま放置すると、意図しないポートがパブリックネットワークに露出し、サービスへの不正アクセスの窓口になります。
GitHub Actions 過剰な権限設定
このまま放置すると、ワークフローが不必要に広い権限を持つため、侵害時にリポジトリ全体や組織リソースへの影響が及びます。
Terraform: ストレージ暗号化なし
このまま放置すると、保存データが暗号化されておらず、ストレージ流出時に内容がそのまま読み取られる可能性があります。
Low リスク
6カテゴリ非セキュアな乱数生成
このまま放置すると、セッションIDやパスワードリセットトークンが推測される可能性があります。
ReDoS（正規表現拒否攻撃）
このまま放置すると、特定の入力でサーバーが応答不能になる可能性があります。
latest タグによる非固定バージョン
このまま放置すると、意図しないベースイメージの更新が本番環境に混入し、既知の脆弱性を含むバージョンで動作する可能性があります。
Dockerfile その他のセキュリティ設定
このまま放置すると、Dockerfileの設定不備により、コンテナが意図しない動作をする可能性があります。
Terraform: 削除保護なし
このまま放置すると、削除保護がないため、操作ミスや攻撃により重要なリソースが復旧不能なまま失われる可能性があります。
Terraform: その他のセキュリティ設定
このまま放置すると、Terraform定義の設定不備により、クラウドリソースが意図せず脆弱な状態になる可能性があります。