脆弱性の概要

• プラグイン/テーマ名: Image Optimizer, Resizer and CDN – Sirv
• 影響バージョン: 7.2.7 以下
• 脆弱性タイプ: Authenticated(Subscriber+) Missing Authorization to Plugin Settings Update
• CVE ID: CVE-2024-6392
• 重大度: 中
• 公式ページURL: https://wordpress.org/plugins/sirv/

脆弱性の解説

今回お伝えするのは、WordPressプラグイン「Image Optimizer, Resizer and CDN – Sirv」に関する脆弱性です。

この脆弱性は、認証されたユーザー（Subscriber+）がプラグインの設定を更新できるという問題です。

具体的には、適切な認可が欠如しているため、低権限のユーザーでもプラグインの設定を変更することが可能です。

この脆弱性が悪用されると、攻撃者はサイトの画像最適化設定を変更し、サイトのパフォーマンスや表示に影響を与える可能性があります。

脆弱性の背景

この脆弱性は、プラグインの設定更新機能において適切な認可チェックが行われていないことが原因です。

WordPressプラグインは多くのサイトで利用されており、その設定が不正に変更されると、サイトの運営に重大な影響を及ぼす可能性があります。

特に、画像最適化プラグインはサイトのパフォーマンスに直結するため、このような脆弱性は非常に重要です。

対策方法と影響

この脆弱性を修正するためには、プラグインをバージョン7.2.8にアップデートする必要があります。

アップデートを行わない場合、低権限のユーザーによる不正な設定変更のリスクが残ります。

その結果、サイトのパフォーマンスや表示に悪影響を及ぼす可能性がありますので、早急な対応が求められます。

専門用語の解説

• CVSS: Common Vulnerability Scoring Systemの略で、脆弱性の深刻度を評価するための標準的なスコアリングシステムです。
• CVE: Common Vulnerabilities and Exposuresの略で、公開されている脆弱性に対して一意の識別子を付与するシステムです。
• 認可: システムやアプリケーションにおいて、特定の操作を行う権限を確認するプロセスです。
• Subscriber+: WordPressのユーザーロールの一つで、最低限の権限を持つユーザーを指します。

情報元