脆弱性の概要

• プラグイン/テーマ名: WP Adminify – Custom WordPress Dashboard, Login and Admin Customizer
• 影響バージョン: 4.0.1.6 以下
• 脆弱性タイプ: Authenticated (Author+) Stored Cross-Site Scripting via SVG File Upload
• CVE ID: CVE-2024-8959
• 重大度: 中
• 公式ページURL: https://wordpress.org/plugins/adminify/

脆弱性の解説

今回お伝えするのは、WordPressプラグイン「WP Adminify」における脆弱性についてです。

この脆弱性は、認証されたユーザーがSVGファイルをアップロードする際に、悪意のあるスクリプトを埋め込むことができるというものです。

具体的には、著者以上の権限を持つユーザーが、特定の条件下でSVGファイルを通じてスクリプトを保存し、他のユーザーがそのスクリプトを実行してしまう可能性があります。

この脆弱性が悪用されると、サイトの管理者権限を乗っ取られるリスクがあり、サイト全体のセキュリティに重大な影響を及ぼす可能性があります。

脆弱性の背景

SVGファイルは、画像をベクター形式で表現するためのファイル形式であり、通常は安全に使用されます。

しかし、SVGファイルはXMLベースであるため、スクリプトを埋め込むことが可能です。

この特性を悪用して、悪意のあるスクリプトを埋め込むことができるため、SVGファイルの取り扱いには注意が必要です。

今回の脆弱性は、SVGファイルのアップロード機能における入力検証の不備が原因で発生しました。

対策方法と影響

この脆弱性に対する対策として、プラグインをバージョン4.0.1.7にアップデートすることが推奨されます。

アップデートを行うことで、SVGファイルのアップロード時に適切な入力検証が行われ、悪意のあるスクリプトの埋め込みが防止されます。

もしアップデートを行わない場合、サイトが攻撃者に乗っ取られるリスクが高まり、サイトの信頼性やユーザーの安全が脅かされる可能性があります。

専門用語の解説

• SVGファイル: Scalable Vector Graphicsの略で、ベクター形式の画像ファイルです。
  XMLベースで記述されるため、テキストとして編集可能です。
• クロスサイトスクリプティング (XSS): ウェブアプリケーションの脆弱性の一種で、悪意のあるスクリプトが他のユーザーのブラウザで実行される攻撃手法です。
• CVSS: Common Vulnerability Scoring Systemの略で、脆弱性の深刻度を評価するための標準化されたスコアリングシステムです。

情報元