脆弱性の概要

• プラグイン/テーマ名: Contact Form by Supsystic
• 影響バージョン: 1.7.29 以下
• 脆弱性タイプ: Cross-Site Request Forgery to Stored Cross-Site Scripting via saveAsCopy AJAX Action
• CVE ID: CVE-2024-13452
• 重大度: 中
• 公式ページURL: https://wordpress.org/plugins/contact-form-by-supsystic/

脆弱性の解説

今回お伝えするのは、WordPressプラグイン「Contact Form by Supsystic」における脆弱性についてです。

この脆弱性は、Cross-Site Request Forgery（CSRF）とStored Cross-Site Scripting（XSS）が組み合わさったもので、特に「saveAsCopy」AJAXアクションを通じて悪用される可能性があります。

攻撃者は、ユーザーが意図しない操作を実行させることができ、結果として悪意のあるスクリプトが保存され、他のユーザーがそのスクリプトを実行してしまうリスクがあります。

この脆弱性が悪用されると、サイトの管理者権限を持つユーザーのセッションが乗っ取られる可能性があり、サイト全体のセキュリティが脅かされることになります。

脆弱性の背景

この脆弱性は、AJAXリクエストの処理において適切な認証が行われていないことが原因です。

歴史的に、CSRFやXSSはWebアプリケーションにおける一般的な脆弱性であり、多くのサイトがこれらの攻撃に対して脆弱であることが知られています。

特に、WordPressのような広く使用されているプラットフォームでは、こうした脆弱性が発見されると多くのサイトに影響を及ぼすため、迅速な対応が求められます。

対策方法と影響

この脆弱性に対する最も効果的な対策は、プラグインを最新のバージョン1.7.30に更新することです。

更新を行うことで、脆弱性が修正され、攻撃のリスクを大幅に低減できます。

もし更新を行わない場合、攻撃者によってサイトが乗っ取られる可能性があり、ユーザーの個人情報が漏洩するなどの重大なリスクが伴います。

専門用語の解説

• Cross-Site Request Forgery (CSRF): ユーザーが意図しない操作を第三者が実行させる攻撃手法。
• Stored Cross-Site Scripting (XSS): 悪意のあるスクリプトがサーバーに保存され、他のユーザーがそのスクリプトを実行してしまう攻撃手法。
• AJAX: 非同期通信を可能にする技術で、ページを再読み込みせずにサーバーとデータをやり取りすることができます。

情報元