脆弱性の概要

• プラグイン/テーマ名: Appointment Booking Calendar Plugin and Online Scheduling Plugin – BookingPress
• 影響バージョン: 1.1.5 以下
• 脆弱性タイプ: Missing Authorization to Authenticated (Subscriber+) Arbitrary Options Update and Arbitrary File Upload
• CVE ID: CVE-2024-6660
• 重大度: 高
• 公式ページURL: https://wordpress.org/plugins/bookingpress-appointment-booking/

脆弱性の解説

今回お伝えするのは、WordPressのプラグイン「Appointment Booking Calendar Plugin and Online Scheduling Plugin – BookingPress」に関する脆弱性です。

この脆弱性は、バージョン1.1.5以下に存在し、認証されたユーザー（Subscriber以上の権限を持つユーザー）が任意のオプションを更新したり、任意のファイルをアップロードしたりすることが可能となるものです。

具体的には、適切な認証が欠如しているため、悪意のあるユーザーがシステム設定を変更したり、悪意のあるファイルをサーバーにアップロードすることができる可能性があります。

これにより、サイトの完全性が損なわれ、さらにはサーバー全体が乗っ取られるリスクもあります。

脆弱性の背景

この脆弱性は、プラグインの認証メカニズムにおける欠陥が原因で発生しました。

特に、Subscriber以上の権限を持つユーザーが、通常は管理者のみが行える操作を実行できる点が問題です。

このような脆弱性は、過去にも他のプラグインやシステムで見られたことがあり、特にWordPressのような広く使用されているプラットフォームでは重大な問題となります。

対策方法と影響

この脆弱性を修正するためには、プラグインをバージョン1.1.6にアップデートする必要があります。

公式ページから最新バージョンをダウンロードし、インストールすることで対策が可能です。

もしこの対策を行わない場合、サイトが攻撃者に乗っ取られるリスクが高まり、データの漏洩や改ざん、さらにはサーバー全体の制御を失う可能性があります。

専門用語の解説

• CVSS: Common Vulnerability Scoring Systemの略で、脆弱性の重大度を評価するための標準的なスコアリングシステムです。
• CVE: Common Vulnerabilities and Exposuresの略で、公開されている脆弱性に対して一意の識別子を付与するシステムです。
• Subscriber: WordPressのユーザー権限の一つで、通常はサイトのコンテンツを閲覧するだけの権限を持ちます。
• 任意のオプション更新: システム設定や構成を変更する操作のことです。
• 任意のファイルアップロード: サーバーに任意のファイルをアップロードする操作のことです。

情報元