脆弱性の概要

• プラグイン/テーマ名: WP Cleanup and Basic Functions
• 影響バージョン: 2.2.1 以下
• 脆弱性タイプ: Authenticated (Author+) Stored Cross-Site Scripting via SVG File Upload
• CVE ID: CVE-2024-9455
• 重大度: 中
• 公式ページURL: https://wordpress.org/plugins/wp-cleanup-and-basic-functions/

脆弱性の解説

今回お伝えするのは、WordPressプラグイン「WP Cleanup and Basic Functions」における脆弱性についてです。

この脆弱性は、認証されたユーザー、具体的には「Author」以上の権限を持つユーザーが、SVGファイルをアップロードする際に悪意のあるスクリプトを埋め込むことができるというものです。

このスクリプトは、他のユーザーがそのファイルを閲覧した際に実行され、クロスサイトスクリプティング（XSS）攻撃を引き起こす可能性があります。

影響を受けるバージョンは2.2.1以下であり、攻撃者はこの脆弱性を利用して、サイトの管理者権限を奪取したり、ユーザーの個人情報を盗むことができる可能性があります。

脆弱性の背景

SVGファイルは、画像をベクター形式で表現するためのファイル形式であり、通常は安全とされています。

しかし、SVGファイルはXMLベースであるため、スクリプトを埋め込むことが可能です。

この特性を悪用することで、攻撃者はXSS攻撃を実行することができます。

WordPressプラグインにおいて、SVGファイルのアップロード機能が適切に制御されていない場合、このような脆弱性が発生することがあります。

この問題は、過去にも他のプラグインで報告されており、SVGファイルの取り扱いには特に注意が必要です。

対策方法と影響

この脆弱性に対する対策としては、プラグインの開発者が提供する修正済みバージョンがリリースされるまで、SVGファイルのアップロードを無効にすることが推奨されます。

また、WordPressのセキュリティプラグインを利用して、アップロードされるファイルの内容を検査することも有効です。

これらの対策を行わない場合、サイトが攻撃者に乗っ取られるリスクが高まります。

特に、管理者権限を奪取されると、サイト全体が危険にさらされる可能性があります。

専門用語の解説

• クロスサイトスクリプティング（XSS）: ウェブアプリケーションの脆弱性の一種で、悪意のあるスクリプトが他のユーザーのブラウザで実行される攻撃手法。
• SVGファイル: Scalable Vector Graphicsの略で、ベクター形式の画像ファイル。
• 認証されたユーザー: システムにログインし、特定の権限を持つユーザー。
• 管理者権限: システムやアプリケーションの全ての機能にアクセスできる最高レベルの権限。

情報元