【CVE-2024-13732】WordPress Gutenberg Blocks 1.9.9に脆弱性、認証済みユーザーによるXSS攻撃のリスクが判明

text: XEXEQ編集部
（記事は執筆時の情報に基づいており、現在では異なる場合があります）

IT・テックのコネクトメディア「ゼゼック」
カテゴリ毎のアーカイブ記事一覧
【カテゴリ別】2025年02月のアーカイブ一覧
【CVE-2024-13732】WordPress Gutenberg Blocks 1.9.9に脆弱性、認証済みユーザーによるXSS攻撃のリスクが判明

記事の要約

WordPress Gutenberg Blocks 1.9.9までに脆弱性が発見
認証済みユーザーによるXSS攻撃が可能に
section_tagパラメータの入力検証が不十分

WordPress Gutenberg Blocks 1.9.9の脆弱性

WordfenceはWordPress用プラグインResponsive Blocks - WordPress Gutenberg Blocks 1.9.9以前のバージョンに格納型クロスサイトスクリプティングの脆弱性が存在することを2025年1月30日に発表した。この脆弱性は入力値の検証とエスケープが不十分なsection_tagパラメータに起因しており、Contributor以上の権限を持つ認証済みユーザーが悪用可能な状態となっている。^[1]

CVE-2024-13732として識別されているこの脆弱性は、CWEによる分類ではCWE-79（Webページ生成時の入力の不適切な無害化）に分類されている。CVSSスコアは6.4（MEDIUM）であり、攻撃元区分はネットワークで、攻撃条件の複雑さは低く、特権レベルは低いとされている。

この脆弱性により、認証済みの攻撃者がWebページ上に任意のスクリプトを挿入することが可能となり、ページにアクセスしたユーザーの環境でそのスクリプトが実行される可能性がある。影響を受けるサブコンポーネントはスコープが変更される可能性があり、機密性と完全性への影響は限定的だが可用性への影響はないとされている。

WordPress Gutenberg Blocks 1.9.9の脆弱性詳細

項目	詳細
脆弱性ID	CVE-2024-13732
影響を受けるバージョン	1.9.9以前
脆弱性の種類	格納型クロスサイトスクリプティング
CVSSスコア	6.4（MEDIUM）
必要な権限	Contributor以上
発見者	Djaidja Moundjid

クロスサイトスクリプティングについて

クロスサイトスクリプティング（XSS）とは、Webアプリケーションの脆弱性の一つで、攻撃者が悪意のあるスクリプトをWebページに挿入できる問題のことを指す。主な特徴として、以下のような点が挙げられる。

ユーザーの入力値が適切にサニタイズされずにページに出力される
挿入されたスクリプトは他のユーザーのブラウザで実行される
セッションの乗っ取りや情報窃取などの攻撃に悪用される可能性がある

WordPress Gutenberg Blocks 1.9.9の脆弱性は、section_tagパラメータの入力値が適切にサニタイズされていないことに起因している。本脆弱性は認証済みユーザーによって悪用される可能性があり、Webページにアクセスした他のユーザーの環境で悪意のあるスクリプトが実行されるおそれがある。

WordPress Gutenberg Blocksの脆弱性に関する考察

WordPressの人気プラグインに発見された今回の脆弱性は、入力値のサニタイズとエスケープという基本的なセキュリティ対策の重要性を再認識させる事例となった。認証済みユーザーによる攻撃という制限があるものの、一度悪意のあるスクリプトが挿入されると、そのページにアクセスした全てのユーザーに影響が及ぶ可能性があるため、早急な対応が必要となるだろう。

今後はプラグイン開発者によるセキュリティチェックの強化と、定期的な脆弱性診断の実施が求められる。特にユーザー入力を処理するパラメータについては、入力値の検証とエスケープ処理を徹底することで、同様の脆弱性の発生を防ぐことができるはずだ。

WordPressエコシステムの健全性を維持するためには、プラグイン開発者とセキュリティ研究者の協力が不可欠である。脆弱性の報告から修正までのプロセスを効率化し、ユーザーへの影響を最小限に抑えるための体制作りが望まれる。