脆弱性の概要

• プラグイン/テーマ名: Custom Field Suite
• 影響バージョン: 2.6.7 以下
• 脆弱性タイプ: Authenticated (Contributor+) SQL Injection via Term Custom Field
• CVE ID: CVE-2024-3561
• 重大度: 高
• 公式ページURL: https://wordpress.org/plugins/custom-field-suite/

脆弱性の解説

今回お伝えするのは、WordPressプラグイン「Custom Field Suite」における脆弱性です。

この脆弱性は、認証されたユーザー（Contributor以上の権限を持つユーザー）によって、Term Custom Fieldを通じてSQLインジェクション攻撃が可能となるものです。

具体的には、攻撃者が特定のカスタムフィールドに悪意のあるSQLクエリを挿入することで、データベース内の情報を不正に取得、変更、または削除することができます。

この脆弱性が悪用されると、サイト全体のデータベースが危険にさらされる可能性があり、非常に重大な影響を及ぼすことが考えられます。

脆弱性の背景

この脆弱性は、カスタムフィールドの入力処理において適切なエスケープ処理が行われていないことが原因です。

SQLインジェクションは、ウェブアプリケーションにおける古典的な攻撃手法の一つであり、データベースと直接やり取りする部分において特に注意が必要です。

過去にも同様の脆弱性が多くのウェブアプリケーションで発見されており、その影響の大きさから常に注目されています。

対策方法と影響

現在、この脆弱性が修正されたバージョンは不明です。

しかし、影響を受けるバージョン（2.6.7以下）を使用している場合は、直ちにプラグインの使用を中止し、公式ページや開発者からのアップデート情報を確認することを強く推奨します。

また、データベースのバックアップを定期的に行い、不正アクセスの兆候がないか監視することも重要です。

この脆弱性を放置すると、サイトのデータが改ざんされるリスクが高まり、最悪の場合、サイト全体が機能しなくなる可能性があります。

専門用語の解説

• SQLインジェクション: データベースに対する不正なSQLクエリを挿入する攻撃手法。
  これにより、データの不正取得や改ざんが可能となる。
• カスタムフィールド: WordPressにおいて、投稿やページに追加の情報を付加するためのフィールド。
• エスケープ処理: 特殊文字を無害化するための処理。
  SQLインジェクションを防ぐために重要。
• Contributor: WordPressのユーザー権限の一つ。
  投稿の作成はできるが、公開はできない。

情報元