脆弱性の概要

• プラグイン/テーマ名: WPC Smart Wishlist for WooCommerce
• 影響バージョン: 5.0.3 以下
• 脆弱性タイプ: Insecure Direct Object Reference to Unauthenticated Wishlist Manipulation
• CVE ID: CVE-2025-11518
• 重大度: 中
• 公式ページURL: https://wordpress.org/plugins/woo-smart-wishlist/

脆弱性の解説

今回お伝えするのは、WordPressプラグイン「WPC Smart Wishlist for WooCommerce」における脆弱性についてです。

この脆弱性は、Insecure Direct Object Reference（IDOR）に関連しており、認証されていないユーザーがウィッシュリストを操作できる可能性があります。

具体的には、攻撃者が特定のリクエストを送信することで、他のユーザーのウィッシュリストにアクセスしたり、変更を加えたりすることが可能です。

このような操作が行われると、ユーザーのプライバシーが侵害されるだけでなく、ウィッシュリストの内容が不正に変更されるリスクがあります。

脆弱性の背景

この脆弱性は、Webアプリケーションにおける一般的なセキュリティの問題であるIDORに起因しています。

IDORは、適切なアクセス制御が行われていない場合に発生し、攻撃者が他のユーザーのデータに不正にアクセスできる状態を指します。

この問題は、過去にも多くのWebサービスで発見されており、特にユーザー生成コンテンツを扱うプラットフォームでは注意が必要です。

対策方法と影響

この脆弱性を修正するためには、プラグインをバージョン5.0.4にアップデートすることが推奨されます。

アップデートを行うことで、認証されていないユーザーによる不正なウィッシュリスト操作を防ぐことができます。

もしアップデートを行わない場合、ユーザーのプライバシーが侵害されるリスクが高まり、ウィッシュリストの内容が不正に操作される可能性があります。

専門用語の解説

• Insecure Direct Object Reference (IDOR): 認証やアクセス制御が不十分なために、攻撃者が他のユーザーのデータに不正にアクセスできる脆弱性のことです。
• ウィッシュリスト: ユーザーが購入を検討している商品をリスト化したものです。
• CVSS: Common Vulnerability Scoring Systemの略で、脆弱性の重大度を評価するための標準的なスコアリングシステムです。

情報元