【CVE-2024-10899】WooCommerce Product Table Liteに認証不要の重大な脆弱性、任意のショートコード実行とXSSの危険性

text: XEXEQ編集部
（記事は執筆時の情報に基づいており、現在では異なる場合があります）

記事の要約

WooCommerce Product Table Liteに脆弱性が発見
認証なしで任意のショートコード実行が可能
反射型XSSの脆弱性も確認

WooCommerce Product Table Lite 3.8.6以前の脆弱性

WordfenceはWooCommerce Product Table Liteプラグインのバージョン3.8.6以前に深刻な脆弱性が存在することを2024年11月20日に公開した。このWordPress用プラグインでは、特定のアクションにおいて値の検証が適切に行われずdo_shortcodeが実行される問題が確認されており、認証されていない攻撃者が任意のショートコードを実行できる状態にある。^[1]

この脆弱性はCVSS 3.1で7.3（High）のスコアが付与されており、攻撃元区分はネットワーク、攻撃条件の複雑さは低く、特権は不要とされている。また同じidパラメータにおいて反射型クロスサイトスクリプティング脆弱性も確認されており、複数の攻撃手法に対して脆弱な状態となっている。

この問題はCWE-94（コード生成の不適切な制御）に分類されており、攻撃者は認証なしでシステムに悪影響を及ぼす可能性がある。攻撃成功時の影響として機密性、整合性、可用性のいずれもLowレベルでの影響が想定されており、早急な対応が推奨される。

WooCommerce Product Table Liteの脆弱性詳細

項目	詳細
脆弱性ID	CVE-2024-10899
影響を受けるバージョン	3.8.6以前のすべてのバージョン
CVSS スコア	7.3 (High)
CWE分類	CWE-94（コード生成の不適切な制御）
攻撃条件	認証不要、ネットワークからのアクセス、低い複雑性
想定される影響	機密性・整合性・可用性への影響（すべてLow）

ショートコード実行について

ショートコード実行とは、WordPressにおいて特定の機能やコンテンツを簡単に埋め込むための機能のことを指す。主な特徴として、以下のような点が挙げられる。

角括弧で囲まれた簡潔なコードで複雑な機能を実装可能
プラグインやテーマによって独自のショートコードを追加できる
動的なコンテンツ生成やデータベースとの連携が可能

WooCommerce Product Table Liteの脆弱性では、このショートコード機能の検証が不適切なため、認証されていない攻撃者が任意のショートコードを実行できる状態となっている。do_shortcode関数を通じて実行されるショートコードは、本来ならば適切な権限を持つユーザーのみが使用できるべき機能にアクセスできてしまう可能性がある。

WooCommerce Product Table Liteの脆弱性に関する考察

この脆弱性の特筆すべき点は、認証を必要としない攻撃が可能である点と、ショートコード実行とXSSの両方の脆弱性が存在する点だ。WordPressの広範な利用状況を考えると、これらの脆弱性は多くのECサイトに潜在的な影響を及ぼす可能性があり、特にショートコード実行による任意のコード実行は深刻な被害をもたらす恐れがある。

今後の対策として、プラグイン開発者はユーザー入力値の検証をより厳密に行い、特にdo_shortcodeのような強力な機能を使用する際は適切な権限チェックを実装する必要があるだろう。また、WordPressコミュニティ全体としても、類似の脆弱性を防ぐためのセキュリティガイドラインの強化や、開発者向けの教育リソースの充実が求められる。

この事例は、プラグインのセキュリティ設計における基本的な注意点を再確認する機会となった。特に認証やアクセス制御、入力値の検証といった基本的なセキュリティ対策の重要性が改めて浮き彫りとなっている。今後はプラグインの審査プロセスにおいても、これらの観点からより厳密なチェックが行われることが期待される。