PHP NoSQL 注入監査（php-nosql-audit）

PHP プロジェクトのソースコードを分析し、ユーザー入力が NoSQL クエリ条件にどのように組み込まれるかを特定し、operator 注入による認証バイパスやデータ漏洩を検出します。

分類と番号付け

• 詳細については、shared/SEVERITY_RATING.md を参照してください。
• 脆弱性番号：{C/H/M/L}-NOSQL-{シーケンス番号}

必須チェック Sink（強制）

MongoDB ドライバー/ODM でよく見られます。

• collection->find($filter)
• findOne($filter) / update($filter, {value}) / delete($filter)
• where($condition) または ->filter({value})
• ユーザー入力をクエリ配列/式に結合するラッパー関数

必須チェック危険パターン（強制）

以下の判断証拠を必ず出力してください。

• ユーザー入力が filter/condition 配列の一部として直接使用されている場合（特に json_decode の結果）
• ユーザー入力を構造化された条件として扱う動作があり、型強制やホワイトリスト化が行われていない場合
• クエリに悪用される可能性のある演算子フィールドが含まれている場合：$ne/$gt/$lt/$or/$and/$where/$regex

tracer トリガー条件

ユーザー入力が JSON/配列/ネストされた構造であり、クエリ構築前に複数の層でラップされている場合、最終的な sink まで追跡する必要があります。

レポート出力

{output_path}/vuln_audit/nosql_{timestamp}.md

項目テンプレート（強制）

各脆弱性には以下を含める必要があります。

• 位置の証拠（クエリ構築関数/最終的な find/update 呼び出し）
• データフローチェーン（入力解析 -> 型 -> クエリ条件）
• 悪用可能な前提条件（認証状態/ログインの必要性/クエリ演算子を変更できるか）
• 検証 PoC（実際のルートと実際のパラメータ名であること；ペイロードは構造化された NoSQL 条件の例であること）
• 修正提案（厳密なフィールド allowlist + 型強制 + ユーザー入力をクエリ式として扱わないこと）

証拠引用（強制：php-route-tracer から）

各 NoSQL 注入の疑いのある脆弱性について、trace 出力の ## 9) Sink Evidence Type Checklist の NOSQL 行に対応する証拠の要点を個別に引用する必要があります（状態は「検証待ち」でも構いませんが、証拠の引用は必須です）。

1. EVID_NOSQL_QUERY_CONSTRUCTION：NoSQL クエリ構築点の証拠（find/update/delete またはクエリビルダーの実行点に対応）
2. EVID_NOSQL_USER_INPUT_INTO_QUERY_STRUCTURE：ユーザー入力がクエリ条件構造に組み込まれる証拠（制御可能なフィールドが filter/where の構造に入る）
3. EVID_NOSQL_OPERATOR_INJECTION_FIELDS：operator 注入フィールドの証拠（$ne/$gt/$or/$where/$regex など）

tracer 証拠欠落の処理（強制）

• 上記 1～3 のいずれかの重要な証拠の要点を特定できない場合：その脆弱性の状態は ⚠️検証待ち としかマークできず、直接 ✅悪用可能と確認済み とすることはできません。