【CVE-2024-9846】Enable Shortcodesプラグインに認証不要な任意コード実行の脆弱性が発覚、早急な対応が必要に

text: XEXEQ編集部
（記事は執筆時の情報に基づいており、現在では異なる場合があります）

記事の要約

Enable Shortcodes内の1.0.0以前のバージョンに脆弱性
認証不要な任意のショートコード実行が可能に
CVSSスコア7.3のハイリスク脆弱性として報告

Enable Shortcodes inside Widgets,Comments and Expertsの脆弱性

WordPressプラグインEnable Shortcodes inside Widgets,Comments and Expertsのバージョン1.0.0以前において、認証不要で任意のショートコードを実行可能な脆弱性が2024年10月30日に報告された。プラグインがdo_shortcodeを実行する際の値の検証が適切に行われていないことが原因で、未認証の攻撃者による悪用が可能となっている。^[1]

本脆弱性は【CVE-2024-9846】として識別されており、CVSSスコアは7.3とハイリスクに分類されている。攻撃の複雑性は低く特権も不要であり、機密性と整合性、可用性のすべてに一定の影響があるとされており、早急な対応が必要となっている。

WordfenceのFrancesco Carlucciによって発見されたこの脆弱性は、CWE-94（コード生成におけるコントロールの不適切さ）に分類されている。攻撃者は認証なしでショートコードを実行できるため、WordPressサイトのセキュリティに深刻な影響を及ぼす可能性がある。

Enable Shortcodesの脆弱性詳細

項目	詳細
CVE番号	CVE-2024-9846
影響を受けるバージョン	1.0.0以前のすべてのバージョン
CVSSスコア	7.3（High）
脆弱性の種類	CWE-94（コード生成におけるコントロールの不適切さ）
攻撃要件	認証不要、攻撃の複雑性は低い
影響範囲	機密性、整合性、可用性に影響

ショートコードについて

ショートコードとはWordPressの機能の一つであり、投稿や固定ページ内で特定の機能を呼び出すための短いコードのことを指す。主な特徴として以下のような点が挙げられる。

角括弧で囲まれた簡潔な記述で複雑な機能を実現
テーマやプラグインで独自のショートコードを追加可能
HTMLやPHPコードを直接記述せずに高度な機能を実装

Enable Shortcodes inside Widgets,Comments and Expertsプラグインはウィジェットやコメント、抜粋文でもショートコードを使用可能にする機能を提供している。しかし、ショートコードの実行時に適切な検証が行われていないため、悪意のある攻撃者によって任意のコードが実行される可能性があるのだ。

Enable Shortcodesの脆弱性に関する考察

WordPressプラグインの脆弱性は、サイト全体のセキュリティに重大な影響を及ぼす可能性がある重要な問題として認識されている。Enable Shortcodesプラグインの脆弱性は認証不要で悪用可能であり、攻撃の複雑性も低いことから、早急なアップデートや代替プラグインへの移行を検討する必要があるだろう。

プラグイン開発者には、ユーザー入力値の厳格な検証やセキュリティチェックの強化が求められている。特にショートコードのような強力な機能を提供するプラグインでは、実行前の入力値の検証や実行可能なショートコードの制限など、多層的な防御策を実装することが重要だ。

今後はWordPressコミュニティ全体で、プラグインのセキュリティレビューやコードの品質チェックをより厳格に行うことが望まれる。脆弱性発見時の迅速な対応体制の整備や、開発者向けのセキュリティガイドラインの拡充など、エコシステム全体でのセキュリティ強化が期待される。