脆弱性の概要

• プラグイン/テーマ名: OSM – OpenStreetMap
• 影響バージョン: 6.0.2 以下
• 脆弱性タイプ: Authenticated (Contributor+) Stored Cross-Site Scripting via Shortcode
• CVE ID: CVE-2024-3603
• 重大度: 中
• 公式ページURL: https://wordpress.org/plugins/osm/

脆弱性の解説

今回お伝えするのは、WordPressプラグイン「OSM – OpenStreetMap」における脆弱性についてです。

この脆弱性は、認証されたユーザー（Contributor以上の権限を持つユーザー）が特定のショートコードを使用することで、悪意のあるスクリプトを保存できるというものです。

このスクリプトは、後に他のユーザーがそのページを閲覧した際に実行される可能性があります。

具体的には、攻撃者が悪意のあるショートコードを投稿し、それを閲覧したユーザーのブラウザでスクリプトが実行されることで、セッションハイジャックやフィッシング攻撃などが行われるリスクがあります。

脆弱性の背景

この脆弱性は、ショートコードの処理における入力検証が不十分であることに起因しています。

WordPressプラグインは多くのユーザーに利用されており、その利便性から多くの機能が追加されていますが、その一方でセキュリティ面での脆弱性が発生することも少なくありません。

特に、ユーザーが自由にコンテンツを投稿できる機能を持つプラグインでは、入力内容の検証が不十分な場合、今回のようなクロスサイトスクリプティング（XSS）攻撃のリスクが高まります。

対策方法と影響

この脆弱性に対する対策としては、プラグインの最新バージョンにアップデートすることが推奨されます。

公式ページや開発者からのアナウンスを確認し、修正済みのバージョンがリリースされている場合は速やかに更新してください。

もし、修正済みバージョンがまだリリースされていない場合は、該当プラグインの使用を一時的に停止することも検討してください。

対策を行わない場合、悪意のあるユーザーによってサイトが攻撃され、ユーザーの個人情報が漏洩するリスクや、サイト全体が改ざんされるリスクがあります。

専門用語の解説

• クロスサイトスクリプティング（XSS）: ウェブサイトに悪意のあるスクリプトを挿入し、他のユーザーがそのスクリプトを実行してしまう攻撃手法。
• ショートコード: WordPressで特定の機能を簡単に呼び出すための短いコード。
• セッションハイジャック: ユーザーのセッション情報を盗み取り、不正にアクセスする攻撃手法。
• フィッシング攻撃: 偽のウェブサイトやメールを使って、ユーザーの個人情報を盗み取る詐欺行為。

情報元