【CVE-2024-51682】WordPress用プラグインHT Builder 1.3.0にXSS脆弱性、バージョン1.3.1で修正完了

text: XEXEQ編集部
（記事は執筆時の情報に基づいており、現在では異なる場合があります）

記事の要約

HT Builder 1.3.0以前に格納型XSS脆弱性が発見
Patchstack社によってCVE-2024-51682として公開
バージョン1.3.1で脆弱性が修正完了

WordPress用プラグインHT Builder 1.3.0のXSS脆弱性

Patchstack社は2024年11月4日、HasThemes社が開発するWordPress用プラグイン「HT Builder – WordPress Theme Builder for Elementor」にXSS（クロスサイトスクリプティング）脆弱性が存在することを公開した。この脆弱性は格納型XSSとして分類され、CVSSスコアは6.5（深刻度：中）と評価されている。^[1]

この脆弱性はバージョン1.3.0以前のHT Builderに影響を与えるものであり、攻撃者は特権ユーザーとしてログインした状態で悪意のあるスクリプトを注入することが可能となっていた。脆弱性の発見者はPatchstack Allianceに所属するGabによって報告され、HasThemes社は迅速な対応としてバージョン1.3.1で修正を完了している。

CVE-2024-51682として識別されるこの脆弱性は、CWE-79（Webページ生成時の入力の不適切な無効化）に分類され、CVSS3.1での評価によるとネットワークからのアクセスで攻撃が可能となっている。攻撃の実行には特権が必要であり、ユーザーの操作も必要とされるが、複雑な攻撃条件は必要としないと評価されている。

HT Builder 1.3.0の脆弱性情報まとめ

項目	詳細
CVE番号	CVE-2024-51682
影響を受けるバージョン	1.3.0以前
修正バージョン	1.3.1
脆弱性のタイプ	格納型XSS（CWE-79）
CVSSスコア	6.5（中）
攻撃条件	特権ユーザーでのログインが必要

脆弱性の詳細についてはこちら

クロスサイトスクリプティングについて

クロスサイトスクリプティング（XSS）とは、Webアプリケーションの脆弱性の一種であり、以下のような特徴を持つ攻撃手法である。

Webサイトに悪意のあるスクリプトを埋め込むことが可能
他のユーザーの閲覧時に不正なスクリプトが実行される
Cookie情報の窃取やセッションハイジャックなどの攻撃が可能

HT Builder 1.3.0で発見された脆弱性は、格納型XSSと呼ばれる永続的な攻撃が可能なタイプのクロスサイトスクリプティングであることが確認されている。この種の脆弱性は、データベースに保存された悪意のあるスクリプトが他のユーザーのブラウザで実行される可能性があるため、特に注意が必要となっているのだ。

WordPress用プラグインHT Builder 1.3.0のXSS脆弱性に関する考察

HasThemes社による迅速な脆弱性の修正対応は評価に値するものの、WordPressプラグインのセキュリティ設計における入力値の検証と無害化処理の重要性が改めて浮き彫りとなった。WordPress用プラグインの開発においては、特権ユーザーによる入力であっても適切なサニタイズ処理を実装することが不可欠となっているのだ。

今後は同様の脆弱性を防ぐため、開発段階でのセキュリティレビューやペネトレーションテストの実施が重要となってくるだろう。特にエディター系のプラグインでは、ユーザー入力を扱う機会が多いため、WAF（Webアプリケーションファイアウォール）の導入やセキュリティスキャナーによる定期的な脆弱性チェックが有効な対策となり得る。

また、WordPressコミュニティ全体としても、プラグイン開発者向けのセキュリティガイドラインの充実や、脆弱性報告制度の整備が望まれる。HasThemes社にはセキュリティアップデートの提供を継続しつつ、他のプラグインについても同様の脆弱性が存在しないか、包括的な見直しを行うことが期待される。