WordPressプラグインの脆弱性情報を解説: Element Pack Lite <= 5.10.14 - Authenticated (Contributor+) Stored Cross-Site Scripting [CVE-2024-12851]

WordPressは多くのWeb製作者が利用するCMSですが、セキュリティの脆弱性が発生することがあります。

これらの脆弱性は、サイト訪問者のデータが盗まれたり、サイトそのものが乗っ取られたりするリスクを生み出すため、特に注意が必要です。

今回は「Element Pack Lite – Addons for Elementor」というプラグインに見つかった脆弱性について、技術的な知識がなくても理解できるように簡単に解説します。

Element Pack Lite – プラグインの概要

「Element Pack Lite」は、人気のあるWordPressページビルダー「Elementor」と組み合わせて使用されるプラグインです。

このプラグインは、以下のような特徴を持っています

• 30種類以上のウィジェットやモジュールを提供し、ページデザインを豊かにする。
  • 例えば、アコーディオン、タブ、スライダーといった機能を簡単に追加できるため、コーディングの知識がなくてもプロフェッショナルなデザインが可能です。
• レスポンシブデザインに対応し、モバイルやタブレットでの見栄えを最適化。
• サードパーティのツールやサービスと連携可能。

このプラグインは、簡単に美しいデザインを作成したいWeb製作者にとって便利なツールですが、今回の脆弱性が発覚しました。

公式ページはこちら：Element Pack Lite – WordPress.org

脆弱性の概要

「Element Pack Lite」のバージョン5.10.14以前に、「保存型クロスサイトスクリプティング(Stored Cross-Site Scripting)」というセキュリティ上の問題が見つかりました。

この問題により、悪意のあるコードが埋め込まれる可能性があり、ユーザーがそのページを閲覧するとコードが実行されてしまいます。

https://www.cve.org/CVERecord?id=CVE-2024-12851

脆弱性が発生する仕組み

1. 認証済みのユーザー（投稿者以上）がCookie Consentウィジェットのcustom_attributesという項目に任意の情報を入力できます。
2. 入力された情報は保存され、その後、他のユーザーがページを閲覧する際に実行されてしまう可能性があります。
   • 投稿者がCookie Consentウィジェットに悪意のあるスクリプトを含むデータを入力すると、管理者や他の閲覧者がそのページを開いた際に、意図せずそのスクリプトが実行されてしまいます。
   • これにより、管理者権限の奪取や不正なリダイレクトが行われる危険性があります。

例えば、このような問題が放置されると、以下のリスクがあります

• 他のユーザーのアカウントが乗っ取られる。
• 悪意のある広告やフィッシングリンクが表示される。

この問題をどう解決したのか？

プラグインの開発者は以下のような方法で問題を修正しました。

1. sanitize_key の適用
   • 保存されるキー名（属性の名前）をあらかじめ許可された形式に制限し、不正なキーを排除しました。
2. esc_attr の適用
   • 入力された値を出力する際に安全な形式に変換し、悪意のあるコードが実行されないようにしました。

これらの修正により、入力された情報が適切に制御され、脆弱性が解消されました。

https://plugins.trac.wordpress.org/changeset/3212890/bdthemes-element-pack-lite/trunk/modules/cookie-consent/widgets/cookie-consent.php

安全のためにできること

このような問題を防ぐためにはプラグインをアップデートすることをお勧めします

プラグインのアップデート方法

1. WordPress管理画面にログインします。
2. 「プラグイン」セクションに移動し、インストール済みプラグインの一覧を確認します。
3. 「Element Pack Lite」が含まれている場合、「更新が必要です」と表示されます。
4. 「今すぐ更新」をクリックして最新バージョンにアップデートします。

これにより、脆弱性が修正された最新バージョン（5.10.15以降）に簡単に更新できます。

プラグイン利用者として、以下の対策が有効となります。

1. プラグインのアップデートを怠らない
   • 脆弱性が修正された最新バージョン（5.10.15以降）に更新しましょう。
2. 信頼できるプラグインのみを利用する
   • ダウンロード数やレビューを確認し、信頼性の高いプラグインを選びましょう。
3. ユーザー権限を適切に設定する
   • 悪意のある管理者は追加しないようにしましょう。
   • 投稿者以上の権限を持つユーザーが制限された範囲内で作業できるように設定を見直しましょう。

まとめ

今回の「Element Pack Lite」における脆弱性の発覚は、日常的に使用されるプラグインが持つ潜在的なリスクを示しています。

セキュリティの問題は、サイトの運営や訪問者に深刻な影響を及ぼす可能性があるため、常に最新情報を把握し、迅速に対応することが重要です。

特に今回のような保存型クロスサイトスクリプティング（Stored XSS）のような問題は、更新を怠ることで大きなリスクとなります。

定期的なアップデートと信頼性の高いプラグインの選択は、サイトの安全性を確保する基本的な対策です。

参照リンク

• CVE-2024-12851 – cve.org
• Wordfenceによる解説
• WordPressプラグイン変更ログ
• Element Pack Lite – WordPress.org