ファイル: vendor/ares/framework/src/Foundation/Http/HttpUtils.php:64

public static function isDirectRequest(): bool
{
    $request = app('request');
    $userAgent = $request->header('User-Agent');
    $userAgentMatches = $userAgent && Str::is('ModularConnector/* (Linux)', $userAgent);
    $originQuery = $request->has('origin') && $request->get('origin') === 'mo';
    $isFromQuery = ($originQuery || $userAgentMatches) && $request->has('type');

    if ($isFromQuery) {
        return true;   // ⚠️ クエリパラメータのみ、署名なし
    }
    return false;
}

問題点: 「直接リクエスト」モードは、Modular SaaSバックエンドからの正当な呼び出しを識別するためのものですが、プレーンテキストのクエリパラメータでのみゲートされており、HMAC、JWT、署名付きnonce、IP許可リストはありません。攻撃者は誰でもこのスイッチを切り替えられます。

ファイル: vendor/ares/framework/src/Foundation/Routing/Router.php:20

protected function findRoute($request)
{
    $this->current = $route = apply_filters(
        'ares/routes/match',
        $this->routes->match($request),   // ⚠️ フィルタが実行される前にURLがルートに解決される
        true
    );
    $route->setContainer($this->container);
    $this->container->instance(Route::class, $route);
    return $route;
}

問題点: Laravelの routes->match($request) は、セキュリティフィルタが実行される前に /api/modular-connector/login/xxx を login ルート（認証ガード付き）に解決します。フィルタはこのルートを入力として受け取るため、ルートが不正であることを明示的に許可するのではなく、証明する負担が生じます。

ファイル: src/app/Providers/RouteServiceProvider.php:46

public function bindOldRoutes($route, $removeQuery = false)
{
    if (!HttpUtils::isDirectRequest()) return $route;

    $request = request();
    $type = $request->header('x-mo-type', $request->get('type'));

    if ($type === 'request') { /* 署名付きOAuth呼び出しで再バインド */ }
    if ($type === 'oauth')   { /* /oauth ハンドラに再バインド */ }
    if ($type === 'lb')      { /* /schedule/run に再バインド */ }

    return $route;   // ⚠️ 未知のtype → URLからのルートがそのまま残る
}

問題点: フィルタは type が3つの既知の値のいずれかである場合のみルートを上書きします。type が任意の値（x、foo、空）の場合、フォールスルーしてURL解決されたルートを変更せずに返します。URL駆動のルート login（文面上は認証ガード付き）は、ミドルウェア評価へ進みます。

ファイル: vendor/ares/framework/src/Foundation/Auth/ModularGuard.php:16

public function check()
{
    return !is_null($this->user());
}

public function user()
{
    $client = OauthClient::getClient();
    try {
        $client->validateOrRenewAccessToken();   // ⚠️ サーバー状態をチェック
        $this->user = ['id' => $client->getClientId()];
    } catch (\Throwable $e) {
        return null;
    }
    return $this->user;
}

問題点: カスタム modular ガードは、受信リクエストの身元をまったく検証しません。プラグイン自体がModular SaaSとの有効なOAuthセッションをまだ保持していることだけを確認します。事実上すべてのインストールが接続されているため（そうでなければプラグインは役に立たない）、ガードはそこに到達するすべてのリクエストに対して true を返します。

これが重要な欠陥です。仮に欠陥①～③が修正されても、この壊れたガードだけでも、auth ミドルウェアグループ内のすべてのルートへの不正アクセスを許容します。

ファイル: src/app/Http/Controllers/AuthController.php:66