セキュリティ

SECURITY

公開：2025-02-27

【CVE-2024-13718】WooCommerceプラグインFlexible Wishlistに深刻なCSRF脆弱性が発見、ウィッシュリストの不正操作が可能に

text: XEXEQ編集部
（記事は執筆時の情報に基づいており、現在では異なる場合があります）

記事の要約

• Flexible Wishlistに深刻なCSRF脆弱性が発見
• WooCommerceプラグインのバージョン1.2.26まで影響
• ウィッシュリストの不正作成・変更が可能に

Flexible Wishlist for WooCommerceに深刻な脆弱性

WordPressのeコマースプラグイン「Flexible Wishlist for WooCommerce」において、バージョン1.2.26以前に深刻な脆弱性が発見され、2025年2月18日に報告された。この脆弱性は複数の機能においてnonceバリデーションが不適切であるため、クロスサイトリクエストフォージェリ（CSRF）攻撃が可能となっている。^[1]

この脆弱性を悪用することで、攻撃者は管理者に悪意のあるリンクをクリックさせることで、他のユーザーのウィッシュリストを不正に作成または変更することが可能となる。CVSSスコアは4.3（MEDIUM）と評価され、ネットワークからのアクセスが可能で攻撃の複雑さは低いとされている。

この脆弱性はWordFenceによって発見され、脆弱性識別番号【CVE-2024-13718】として登録された。影響を受けるバージョンは1.2.26以前のすべてのバージョンであり、ユーザーインタラクションを必要とするものの特別な権限は不要とされている。

脆弱性の詳細情報

クロスサイトリクエストフォージェリについて

クロスサイトリクエストフォージェリ（CSRF）とは、Webアプリケーションに対する攻撃手法の一つで、ユーザーの意図しない操作を強制的に実行させる脆弱性のことを指す。主な特徴として、以下のような点が挙げられる。

• ユーザーの認証情報を悪用して不正な操作を実行
• 被害者のブラウザに保存された認証情報を利用
• 正規のユーザーになりすまして操作を実行可能

CSRFは認証済みのユーザーセッションを悪用する攻撃手法であり、WordPressプラグインなどでは適切なnonceチェックによって防御することが可能である。セキュリティ対策としては、リクエストの正当性を確認するトークンの実装や、重要な操作時の再認証の要求などが有効とされている。

Flexible Wishlist for WooCommerceの脆弱性に関する考察

今回発見された脆弱性は、eコマースサイトのウィッシュリスト機能を標的としており、顧客データの改ざんやサービスの信頼性低下につながる可能性がある。特にWooCommerceは世界中で広く利用されているプラグインであるため、影響範囲が広く、早急な対応が求められる事態となっている。

この脆弱性への対策として、プラグインの開発者側では適切なnonceバリデーションの実装やセキュリティチェックの強化が必要となるだろう。また、サイト管理者側でも定期的なプラグインのアップデートやセキュリティ監査の実施が重要となってくる。

今後は同様の脆弱性を防ぐため、WordPressプラグインのセキュリティレビューの強化やデベロッパー向けのセキュリティガイドラインの整備が期待される。特にeコマース関連のプラグインは金銭的な被害に直結する可能性があるため、より厳格な品質管理が求められるだろう。

参考サイト

1. ^ CVE. 「CVE: Common Vulnerabilities and Exposures」. https://www.cve.org/CVERecord?id=CVE-2024-13718, (参照 25-02-27).

※上記コンテンツはAIで確認しておりますが、間違い等ある場合はコメントよりご連絡いただけますと幸いです。

「セキュリティ」に関するコラム一覧「セキュリティ」に関するニュース一覧