脆弱性の概要

• プラグイン/テーマ名: Contact Form by Bit Form: Multi Step Form, Calculation Contact Form, Payment Contact Form & Custom Contact Form builder
• 影響バージョン: 2.0 – 2.13.4
• 脆弱性タイプ: Authenticater (Administrator+) Arbitrary File Deletion
• CVE ID: CVE-2024-7782
• 重大度: 高
• 公式ページURL: https://wordpress.org/plugins/bit-form/

脆弱性の解説

今回お伝えするのは、WordPressプラグイン「Contact Form by Bit Form: Multi Step Form, Calculation Contact Form, Payment Contact Form & Custom Contact Form builder」に関する脆弱性です。

この脆弱性は、バージョン2.0から2.13.4までの範囲で発見されました。

脆弱性の種類は「Authenticater (Administrator+) Arbitrary File Deletion」であり、管理者権限を持つユーザーが任意のファイルを削除できるというものです。

具体的には、攻撃者が管理者権限を取得した場合、任意のファイルを削除することが可能となり、これによりサイトの正常な動作が妨げられる可能性があります。

この脆弱性を悪用されると、重要なファイルが削除され、サイト全体がダウンするリスクがあります。

脆弱性の背景

この脆弱性は、プラグインのファイル操作に関するセキュリティチェックが不十分であったことに起因します。

特に、管理者権限を持つユーザーがファイル削除操作を行う際に、適切な検証が行われていなかったため、任意のファイルが削除されるリスクが生じました。

このような脆弱性は、過去にも他のプラグインやシステムで発生しており、セキュリティ対策の重要性が再認識される事例となっています。

対策方法と影響

この脆弱性に対する対策として、プラグインを最新バージョンである2.13.5にアップデートすることが推奨されます。

アップデートを行うことで、ファイル削除操作に関するセキュリティチェックが強化され、脆弱性が修正されます。

もしアップデートを行わない場合、攻撃者によって任意のファイルが削除されるリスクが残り、サイトの運営に重大な影響を及ぼす可能性があります。

専門用語の解説

• CVSS: Common Vulnerability Scoring Systemの略で、脆弱性の深刻度を評価するための標準化されたスコアリングシステムです。
• CVE: Common Vulnerabilities and Exposuresの略で、公開されている脆弱性に対して一意の識別子を付与するためのシステムです。
• Authenticater (Administrator+): 認証された管理者以上の権限を持つユーザーを指します。
• Arbitrary File Deletion: 任意のファイル削除を意味し、攻撃者が特定のファイルを削除できる脆弱性です。

情報元