脆弱性の概要

• プラグイン/テーマ名: Poll Maker – Versus Polls, Anonymous Polls, Image Polls
• 影響バージョン: 5.4.6 以下
• 脆弱性タイプ: Authenticated (Administrator+) Stored Cross-Site Scripting via Poll Settings
• CVE ID: CVE-2024-9462
• 重大度: 中
• 公式ページURL: https://wordpress.org/plugins/poll-maker/

脆弱性の解説

今回お伝えするのは、WordPressプラグイン「Poll Maker – Versus Polls, Anonymous Polls, Image Polls」における脆弱性についてです。

この脆弱性は、管理者以上の権限を持つユーザーが、投票設定を通じて悪意のあるスクリプトを保存できるというものです。

攻撃者はこの脆弱性を利用して、他のユーザーが投票ページを閲覧した際にスクリプトを実行させることが可能です。

これにより、ユーザーのブラウザ上で任意のコードを実行したり、セッション情報を盗むといった攻撃が行われる可能性があります。

影響範囲は、該当プラグインを使用しているすべてのWordPressサイトに及びます。

脆弱性の背景

この脆弱性は、Webアプリケーションにおける一般的な問題であるクロスサイトスクリプティング（XSS）の一種です。

特に、管理者権限を持つユーザーが意図せずに悪意のあるスクリプトを保存してしまうケースは、過去にも多くの事例が報告されています。

XSSは、ユーザーの信頼を損なうだけでなく、サイト全体のセキュリティを脅かすため、迅速な対応が求められます。

対策方法と影響

この脆弱性に対する最も効果的な対策は、プラグインをバージョン5.4.7に更新することです。

更新を行うことで、脆弱性が修正され、攻撃のリスクを軽減できます。

もし更新を行わない場合、攻撃者による不正アクセスやデータの改ざん、情報漏洩といったリスクが高まります。

したがって、早急な対応が必要です。

専門用語の解説

• クロスサイトスクリプティング（XSS）: Webアプリケーションの脆弱性の一つで、悪意のあるスクリプトが他のユーザーのブラウザで実行される攻撃手法です。
• CVSS: Common Vulnerability Scoring Systemの略で、脆弱性の深刻度を評価するための基準です。
• 管理者権限: システムやアプリケーションにおいて、設定変更やユーザー管理などの操作が可能な最上位の権限です。

情報元