脆弱性の概要

• プラグイン/テーマ名: IDonate – Blood Donation, Request And Donor Management System
• 影響バージョン: 2.0.0 – 2.1.9
• 脆弱性タイプ: Missing Authorization to Authenticated (Subscriber+) Sensitive Information Disclosure via admin_donor_profile_view Function
• CVE ID: CVE-2025-4523
• 重大度: 中
• 公式ページURL: https://wordpress.org/plugins/idonate/

脆弱性の解説

今回お伝えするのは、WordPressプラグイン「IDonate – Blood Donation, Request And Donor Management System」における脆弱性です。

この脆弱性は、バージョン2.0.0から2.1.9に存在し、認証されたユーザー（Subscriber以上の権限を持つユーザー）が、適切な認可を受けずに管理者用のドナー情報を閲覧できるというものです。

具体的には、admin_donor_profile_view関数を通じて、通常はアクセスが制限されている情報が漏洩する可能性があります。

この脆弱性を悪用されると、個人情報の漏洩やプライバシーの侵害といった深刻な影響を及ぼす可能性があります。

脆弱性の背景

この脆弱性は、プラグインの設計上の欠陥に起因しています。

特に、ユーザーの権限管理が不十分であったため、認証されたユーザーが本来アクセスできない情報にアクセスできる状態になっていました。

このような脆弱性は、過去にも他のプラグインやシステムで発生しており、情報漏洩のリスクを高める要因となります。

適切な権限管理は、システムのセキュリティを維持する上で非常に重要です。

対策方法と影響

この脆弱性に対する対策として、プラグインをバージョン2.1.10にアップデートすることが推奨されます。

アップデートを行うことで、適切な権限管理が実装され、情報漏洩のリスクを軽減できます。

もしアップデートを行わない場合、悪意のあるユーザーによって個人情報が不正に取得される可能性があり、プライバシーの侵害や法的な問題を引き起こすリスクがあります。

専門用語の解説

• CVSS: 共通脆弱性評価システムの略で、脆弱性の深刻度を評価するための標準的な指標です。
• CVE: 共通脆弱性識別子の略で、特定の脆弱性に対して一意に割り当てられる識別番号です。
• 認証: システムにアクセスするユーザーの身元を確認するプロセスです。
• 認可: 認証されたユーザーに対して、どのリソースにアクセスできるかを決定するプロセスです。

情報元