【CVE-2024-11247】SourceCodester Online Eyewear Shop 1.0にXSS脆弱性が発見、リモート攻撃のリスクが拡大

text: XEXEQ編集部
（記事は執筆時の情報に基づいており、現在では異なる場合があります）

記事の要約

SourceCodester Online Eyewear Shop 1.0にXSS脆弱性が発見
Inventory Pageの/oews/classes/Master.phpファイルに影響
CVSSSスコア5.3でMedium評価の深刻度

SourceCodester Online Eyewear Shop 1.0のXSS脆弱性

2024年11月15日、VulDBはSourceCodester Online Eyewear Shop 1.0のInventory Pageに存在するクロスサイトスクリプティングの脆弱性を公開した。/oews/classes/Master.php?f=save_productファイル内のbrandパラメータを操作することで発生する【CVE-2024-11247】の脆弱性は、リモートから攻撃が可能な状態となっている。^[1]

この脆弱性はCVSS 4.0でスコア5.3のMedium評価となっており、攻撃者は特権レベルが必要なものの攻撃条件の複雑さは低いと判断されている。脆弱性の種類はクロスサイトスクリプティング(CWE-79)とコードインジェクション(CWE-94)に分類される深刻な問題だ。

VulDBの分析によると、この脆弱性は既に一般に公開されており、攻撃に利用される可能性が高い状態となっている。影響を受けるのはInventory Page機能の一部であり、brandパラメータ以外の要素にも影響が及ぶ可能性が指摘されているのだ。

SourceCodester Online Eyewear Shop 1.0の脆弱性詳細

項目	詳細
CVE番号	CVE-2024-11247
影響を受けるバージョン	SourceCodester Online Eyewear Shop 1.0
脆弱性の種類	クロスサイトスクリプティング(CWE-79)、コードインジェクション(CWE-94)
CVSSスコア	CVSS 4.0: 5.3(Medium)
影響を受ける機能	/oews/classes/Master.php?f=save_product
攻撃条件	リモートからの攻撃が可能、特権レベルが必要

クロスサイトスクリプティングについて

クロスサイトスクリプティング(XSS)とは、Webアプリケーションにおける重大なセキュリティ上の脆弱性の一つで、以下のような特徴がある。

悪意のあるスクリプトをWebページに埋め込む攻撃手法
ユーザーのブラウザ上で不正なスクリプトが実行される
セッション情報の窃取やフィッシング詐欺に悪用される可能性

SourceCodester Online Eyewear Shop 1.0で発見されたXSS脆弱性は、特にInventory PageのbrandパラメータにおいてCVSS 4.0でスコア5.3というMedium評価の深刻度を持つ。この脆弱性は既に公開されており、攻撃者によって悪用される可能性が高い状態にあるため、早急な対応が必要とされている。

SourceCodester Online Eyewear Shop 1.0の脆弱性に関する考察

SourceCodester Online Eyewear Shop 1.0における最大の問題点は、基本的なセキュリティ対策が十分でないことにある。特にInventory Pageにおけるユーザー入力値の検証が不十分であり、攻撃者によるクロスサイトスクリプティング攻撃を容易に許してしまう可能性が高いのだ。

今後の対策として、入力値のサニタイズ処理の実装やContent Security Policyの適用が必要不可欠となるだろう。さらに、定期的なセキュリティ監査やペネトレーションテストの実施により、新たな脆弱性の早期発見と対応が重要となってくる。

XSSの脆弱性は依然としてWebアプリケーションにおける主要な脅威の一つであり、開発段階からのセキュリティ対策が重要となる。今回の事例を教訓として、特にECサイトにおけるセキュリティ対策の重要性が再認識されるべきだ。