【CVE-2024-10319】Xpro Addons For Elementor FREE 1.4.6の脆弱性発見、認証済みユーザーによる機密情報へのアクセスが可能に

text: XEXEQ編集部
（記事は執筆時の情報に基づいており、現在では異なる場合があります）

記事の要約

Xpro Addons For Elementor FREE 1.4.6の脆弱性を発見
認証済みユーザーによる機密情報の露出が可能に
ContributorレベルからElementorテンプレートデータにアクセス可能

Xpro Addons For Elementor FREE 1.4.6の機密情報露出の脆弱性

WordPressプラグイン「140+ Widgets | Xpro Addons For Elementor – FREE」において、バージョン1.4.6以前に深刻な情報漏洩の脆弱性が発見され、【CVE-2024-10319】として2024年11月5日に公開された。この脆弱性は、widgets/content-toggle/layout/frontend.phpのrender関数に存在し、認証済みユーザーが非公開情報にアクセスできる状態となっている。^[1]

この脆弱性により、Contributor以上の権限を持つユーザーは、非公開のテンプレートデータや下書き状態のコンテンツにアクセスすることが可能となっている。CVSSスコアは4.3（MEDIUM）と評価され、攻撃の複雑さは低く、特権レベルは必要とされるものの、ユーザーの操作は不要とされている。

Wordfenceによって発見されたこの脆弱性は、CWE-200（機密情報の不正なアクターへの露出）に分類されており、重要な情報資産の保護に影響を及ぼす可能性がある。SSVCの評価では、自動化された攻撃は確認されておらず、技術的な影響は部分的であると判断されている。

Xpro Addons For Elementor FREEの脆弱性詳細

項目	詳細
CVE ID	CVE-2024-10319
影響を受けるバージョン	1.4.6以前
脆弱性の種類	機密情報の露出
CVSSスコア	4.3 (MEDIUM)
攻撃に必要な権限	Contributor以上

機密情報の露出について

機密情報の露出とは、システムやアプリケーションが意図せずに重要なデータを外部に開示してしまう脆弱性のことを指す。主な特徴として、以下のような点が挙げられる。

非公開データへの不正アクセスが可能となる
権限のない第三者による情報の取得が可能
システムの設計上の欠陥により発生することが多い

Xpro Addons For Elementor FREEの脆弱性では、認証済みユーザーがrender関数を介して非公開のElementorテンプレートデータにアクセスできる状態となっている。この種の脆弱性は、アクセス制御の不備や権限チェックの不十分さに起因しており、重要な情報資産の保護に深刻な影響を及ぼす可能性がある。

Xpro Addons For Elementor FREEの脆弱性に関する考察

プラグインの開発者がrender関数のアクセス制御を適切に実装していなかったことは、セキュリティ設計における重大な課題を浮き彫りにしている。WordPressの権限モデルを考慮すると、Contributor権限でのテンプレートデータへのアクセスは本来制限されるべきであり、この脆弱性は権限昇格の可能性を示唆している。

今後は同様の脆弱性を防ぐため、プラグイン開発時のセキュリティレビューをより厳密に行う必要がある。特にrender関数のような重要な機能については、アクセス制御のチェックリストを作成し、実装段階での検証を徹底することが望ましいだろう。

また、WordPressコミュニティ全体としても、プラグインのセキュリティ監査の仕組みを強化する必要があるだろう。脆弱性の早期発見と修正のため、自動化されたセキュリティスキャンの導入やコードレビューのガイドラインの整備が求められる。