脆弱性の概要

• プラグイン/テーマ名: My Custom CSS PHP & ADS
• 影響バージョン: 3.3 以下
• 脆弱性タイプ: Unauthenticated Full Path Disclosure
• CVE ID: CVE-2024-7410
• 重大度: 中
• 公式ページURL: https://wordpress.org/plugins/my-custom-css/

脆弱性の解説

今回お伝えするのは、WordPressプラグイン「My Custom CSS PHP & ADS」における脆弱性についてです。

この脆弱性は、認証されていないユーザーがフルパスを開示できるというものです。

具体的には、特定のリクエストを送信することで、サーバー上のファイルパスが表示されてしまう可能性があります。

これにより、攻撃者はサーバーのディレクトリ構造を把握し、他の攻撃手法を試みるための情報を得ることができます。

影響範囲としては、バージョン3.3以下のすべてのインストールが対象となります。

脆弱性の背景

この脆弱性は、プラグインのエラーハンドリングにおける不適切な実装が原因で発生しました。

エラーメッセージにフルパスが含まれてしまうことで、外部からのアクセスに対して情報が漏洩するリスクが生じます。

過去にも同様の脆弱性が他のプラグインやテーマで発見されており、エラーメッセージの取り扱いには常に注意が必要です。

対策方法と影響

現時点で、脆弱性が修正されたバージョンは提供されていません。

そのため、プラグインの使用を一時的に停止するか、他の代替プラグインを検討することをお勧めします。

この脆弱性を放置すると、サーバーのディレクトリ構造が攻撃者に知られるリスクがあり、さらなる攻撃の足掛かりとなる可能性があります。

専門用語の解説

• フルパス: サーバー上のファイルやディレクトリの完全なパス情報。
• エラーハンドリング: プログラムがエラーを検出し、適切に処理するための機能。
• 認証されていないユーザー: ログインや認証を行っていないユーザー。
• ディレクトリ構造: サーバー上のファイルやフォルダの配置や関係性。

情報元