脆弱性の概要

• プラグイン/テーマ名: SVGPlus
• 影響バージョン: 1.1.0 以下
• 脆弱性タイプ: Authenticated (Author+) Stored Cross-Site Scripting via SVG File Upload
• CVE ID: CVE-2024-11092
• 重大度: 中
• 公式ページURL: https://wordpress.org/plugins/svgplus/

脆弱性の解説

今回お伝えするのは、WordPressのプラグイン「SVGPlus」における脆弱性についてです。

この脆弱性は、SVGファイルのアップロードを通じて、認証されたユーザーが悪意のあるスクリプトを保存できるというものです。

具体的には、著者以上の権限を持つユーザーが、特定のSVGファイルをアップロードすることで、他のユーザーのブラウザ上で任意のスクリプトを実行させることが可能になります。

この脆弱性が悪用されると、ユーザーのセッション情報が盗まれたり、フィッシング攻撃が行われたりする可能性があります。

影響範囲は、脆弱性が修正されていないバージョン1.1.0以下のSVGPlusを使用しているサイトです。

脆弱性の背景

SVGファイルは、画像をベクター形式で表現するためのファイル形式で、Webページで広く使用されています。

しかし、SVGファイルはXML形式で記述されているため、スクリプトを埋め込むことが可能です。

この特性が、今回のようなクロスサイトスクリプティング（XSS）攻撃の温床となることがあります。

SVGPlusプラグインは、SVGファイルのアップロードを許可する機能を提供していますが、適切なバリデーションが行われていなかったために、この脆弱性が発生しました。

対策方法と影響

この脆弱性に対する対策としては、SVGPlusプラグインのアップデートが推奨されます。

しかし、現時点では修正済みバージョンが提供されていないため、SVGファイルのアップロード機能を一時的に無効化することが考えられます。

また、SVGファイルのアップロードを行うユーザーの権限を制限することも有効です。

これらの対策を行わない場合、サイトのセキュリティが脅かされ、ユーザー情報の漏洩やサイトの信頼性低下につながる可能性があります。

専門用語の解説

• SVG: Scalable Vector Graphicsの略で、拡大縮小が可能なベクター形式の画像ファイル。
• クロスサイトスクリプティング（XSS）: 悪意のあるスクリプトを他のユーザーのブラウザで実行させる攻撃手法。
• バリデーション: データが正しいかどうかを確認するプロセス。
• セッション情報: ユーザーがWebサイトにログインしている間に保持される情報。

情報元