脆弱性の概要

• プラグイン/テーマ名: WP Booking Calendar
• 影響バージョン: 10.2.1 以下
• 脆弱性タイプ: Authenticated (Contributor+) Stored Cross-Site Scripting via bookingform Shortcode
• CVE ID: CVE-2024-6930
• 重大度: 中
• 公式ページURL: https://wordpress.org/plugins/booking/

脆弱性の解説

今回お伝えするのは、WordPressのプラグイン「WP Booking Calendar」における脆弱性についてです。

この脆弱性は、特定の条件下で認証されたユーザー（Contributor以上の権限を持つユーザー）が、bookingformショートコードを利用して悪意のあるスクリプトを保存できるというものです。

このスクリプトは、後に他のユーザーがそのページを閲覧した際に実行される可能性があります。

具体的には、攻撃者が特定の入力フィールドに悪意のあるJavaScriptコードを埋め込むことで、他のユーザーのブラウザ上でそのコードが実行され、セッションハイジャックやフィッシング攻撃などが行われるリスクがあります。

脆弱性の背景

この脆弱性は、入力データの適切なサニタイズが行われていないことに起因しています。

歴史的に見ても、Cross-Site Scripting（XSS）攻撃はWebアプリケーションにおける一般的な脆弱性の一つであり、多くの被害事例が報告されています。

特に、ユーザー生成コンテンツを扱うプラグインやテーマでは、このような脆弱性が発生しやすい傾向にあります。

WP Booking Calendarも例外ではなく、今回の脆弱性が発見されました。

対策方法と影響

この脆弱性に対する対策として、WP Booking Calendarのバージョンを10.2.2以上にアップデートすることが推奨されます。

アップデートを行うことで、入力データのサニタイズが強化され、悪意のあるスクリプトの埋め込みが防止されます。

もしアップデートを行わない場合、攻撃者によるXSS攻撃のリスクが高まり、ユーザーの個人情報が漏洩する可能性があります。

また、サイトの信頼性が損なわれる恐れもあります。

専門用語の解説

• Cross-Site Scripting (XSS): Webアプリケーションの脆弱性の一つで、悪意のあるスクリプトが他のユーザーのブラウザで実行される攻撃手法。
• サニタイズ: 入力データを安全な形式に変換すること。
  特に、悪意のあるコードが実行されないようにするための処理。
• セッションハイジャック: ユーザーのセッション情報を盗み取ることで、そのユーザーになりすまして不正アクセスを行う攻撃手法。
• フィッシング攻撃: 偽のWebサイトやメールを使って、ユーザーの個人情報を騙し取る攻撃手法。

情報元