脆弱性の概要

• プラグイン/テーマ名: Scylla lite
• 影響バージョン: 1.8.3 以下
• 脆弱性タイプ: Authenticated (Contributor+) Stored Cross-Site Scripting via Button Shortcode
• CVE ID: CVE-2024-5922
• 重大度: 中
• 公式ページURL: 不明

脆弱性の解説

今回お伝えするのは、WordPressテーマ「Scylla lite」における脆弱性です。

この脆弱性は、認証されたユーザー（Contributor以上の権限を持つユーザー）が特定のショートコードを使用することで、悪意のあるスクリプトを保存できるというものです。

具体的には、ボタンショートコードを利用して、悪意のあるJavaScriptコードを挿入することが可能です。

このスクリプトは、他のユーザーが該当ページを閲覧した際に実行され、セッションハイジャックやフィッシング攻撃などのリスクを引き起こす可能性があります。

脆弱性の背景

この脆弱性は、WordPressテーマ「Scylla lite」のバージョン1.8.3以下で発見されました。

WordPressは多くのユーザーに利用されているため、テーマやプラグインの脆弱性が発見されると、その影響は広範囲に及びます。

特に、認証されたユーザーが悪意のあるスクリプトを挿入できる場合、内部からの攻撃が容易になるため、非常に重要な問題となります。

対策方法と影響

この脆弱性に対する具体的な修正方法は、テーマのアップデートです。

脆弱性が修正されたバージョンが提供されていない場合、開発者に連絡し、修正を依頼することが推奨されます。

また、影響を受けるバージョンを使用している場合は、早急に他のテーマに切り替えることも検討してください。

この脆弱性を放置すると、サイトのセキュリティが大きく損なわれ、ユーザーの個人情報が漏洩するリスクが高まります。

専門用語の解説

• CVSS: Common Vulnerability Scoring Systemの略で、脆弱性の深刻度を評価するための標準化されたスコアリングシステムです。
• CVE: Common Vulnerabilities and Exposuresの略で、公開されている脆弱性に対して一意の識別子を付与するためのシステムです。
• Cross-Site Scripting (XSS): ウェブアプリケーションの脆弱性の一つで、悪意のあるスクリプトを他のユーザーのブラウザで実行させる攻撃手法です。
• ショートコード: WordPressで使用される簡単なコードで、特定の機能やコンテンツを簡単に追加するために使用されます。
• セッションハイジャック: ユーザーのセッションIDを盗み取り、そのユーザーになりすまして不正アクセスを行う攻撃手法です。

情報元