脆弱性の概要

• プラグイン/テーマ名: Appointment & Event Booking Calendar Plugin – Webba Booking
• 影響バージョン: 5.0.48 以下
• 脆弱性タイプ: Missing Authorization to Authenticated (Subscriber+) CSS Settings Update
• CVE ID: CVE-2024-8432
• 重大度: 中
• 公式ページURL: https://wordpress.org/plugins/webba-booking-lite/

脆弱性の解説

今回お伝えするのは、WordPressのプラグイン「Appointment & Event Booking Calendar Plugin – Webba Booking」に関する脆弱性です。

この脆弱性は、バージョン5.0.48以下に存在し、認証されたユーザー（Subscriber以上）がCSS設定を更新できるという問題です。

具体的には、適切な認証が行われないため、低権限のユーザーでもCSS設定を変更することが可能となります。

これにより、サイトの外観やレイアウトが意図せず変更されるリスクがあります。

攻撃者はこの脆弱性を利用して、サイトのデザインを改ざんしたり、悪意のあるコードを挿入することができます。

脆弱性の背景

この脆弱性は、プラグインの認証機構における欠陥が原因で発生しました。

特に、CSS設定の更新に対する適切な権限チェックが行われていなかったため、低権限のユーザーでも設定を変更できる状態となっていました。

このような脆弱性は、サイトの信頼性やユーザー体験に重大な影響を与える可能性があるため、早急な対応が求められます。

対策方法と影響

この脆弱性を修正するためには、プラグインをバージョン5.0.50にアップデートする必要があります。

アップデートを行わない場合、サイトのデザインが改ざんされるリスクが高まります。

また、悪意のあるコードが挿入されることで、サイトのセキュリティが脅かされる可能性もあります。

したがって、できるだけ早くプラグインを最新バージョンに更新することを強くお勧めします。

専門用語の解説

• CVSS: Common Vulnerability Scoring Systemの略で、脆弱性の重大度を評価するための標準化されたスコアリングシステムです。
• CVE: Common Vulnerabilities and Exposuresの略で、公開されている脆弱性に対して一意の識別子を付与するシステムです。
• 認証: システムにアクセスするユーザーが正当なものであることを確認するプロセスです。
• 権限: システム内でユーザーが実行できる操作やアクセスできるリソースの範囲を定義するものです。
• CSS: Cascading Style Sheetsの略で、ウェブページの見た目やレイアウトを定義するためのスタイルシート言語です。

情報元