【CVE-2024-10755】PHPGurukul Online Shopping Portal 2.0にクロスサイトスクリプティングの脆弱性、リモート攻撃のリスクに警戒

text: XEXEQ編集部
（記事は執筆時の情報に基づいており、現在では異なる場合があります）

記事の要約

PHPGurukul Online Shopping Portal 2.0の脆弱性を発見
empty_table.phpファイルにクロスサイトスクリプティングの脆弱性
リモートからの攻撃が可能で公開済みの脆弱性

PHPGurukul Online Shopping Portal 2.0のクロスサイトスクリプティング脆弱性

VulDBは2024年11月4日にPHPGurukul Online Shopping Portal 2.0のクロスサイトスクリプティング脆弱性【CVE-2024-10755】を公開した。empty_table.phpファイルの不明な機能において引数scriptsの操作によってクロスサイトスクリプティング攻撃が可能となっており、リモートからの攻撃実行が可能な状態だ。^[1]

この脆弱性のCVSSスコアは複数のバージョンで評価されており、CVSS 4.0では5.3（MEDIUM）、CVSS 3.1では3.5（LOW）、CVSS 3.0では3.5（LOW）、CVSS 2.0では4.0となっている。攻撃者は認証情報を必要とするものの、ユーザーインターフェースを必要としない攻撃が可能となっているのだ。

VulDBのユーザーsecuserxによって報告されたこの脆弱性は、PHPGurukul Online Shopping Portal 2.0のadmin/assets/plugins/DataTables/media/unit_testing/templates/empty_table.phpに存在している。既に脆弱性の詳細は公開されており、攻撃者による悪用の可能性が指摘されている。

PHPGurukul Online Shopping Portal 2.0の脆弱性概要

項目	詳細
影響を受けるバージョン	PHPGurukul Online Shopping Portal 2.0
脆弱性の種類	クロスサイトスクリプティング（CWE-79）
影響を受けるファイル	/admin/assets/plugins/DataTables/media/unit_testing/templates/empty_table.php
CVSS 4.0スコア	5.3（MEDIUM）
攻撃条件	リモートからの攻撃が可能、認証情報が必要

脆弱性の詳細はこちら

クロスサイトスクリプティングについて

クロスサイトスクリプティングとは、Webアプリケーションの脆弱性の一種で、攻撃者が悪意のあるスクリプトをWebページに挿入できる脆弱性のことを指す。主な特徴として、以下のような点が挙げられる。

Webサイトに悪意のあるスクリプトを埋め込むことが可能
ユーザーの情報を盗取したり、不正な操作を実行する可能性がある
サイト利用者のブラウザ上で悪意のあるスクリプトが実行される

PHPGurukul Online Shopping Portal 2.0のempty_table.phpファイルにおいて、scriptsパラメータの不適切な処理によってクロスサイトスクリプティングが可能となっている。この脆弱性は既に公開されており、CVSS 4.0でMEDIUMの深刻度と評価されているため、早急な対応が必要とされている。

PHPGurukul Online Shopping Portal 2.0の脆弱性に関する考察

PHPGurukul Online Shopping Portal 2.0の脆弱性は、すでに公開されており攻撃者による悪用の可能性が高い状態となっていることが大きな懸念点だ。クロスサイトスクリプティングの脆弱性は、ユーザーの個人情報やセッション情報の窃取、さらには不正な操作の実行にもつながる可能性があり、早急なセキュリティパッチの適用が必要となっている。

今後のセキュリティ対策として、入力値のバリデーションやサニタイズ処理の強化、また定期的なセキュリティ監査の実施が重要となってくるだろう。特にPHPアプリケーションでは、HTMLエスケープやXSS対策ライブラリの活用など、複数の防御層を設けることが推奨される。

PHPGurukul Online Shopping Portal 2.0の次期バージョンでは、セキュリティ機能の強化とともに、自動的な脆弱性スキャンやセキュリティテストの導入も検討すべきだ。また、開発者コミュニティとの連携を強化し、脆弱性情報の共有や修正パッチの迅速な提供体制を整えることが望まれる。