【CVE-2024-13687】WordPressプラグインTeam Builder - Meet The Team 1.3に認証不備の脆弱性、管理者以外による設定変更のリスクが発生

text: XEXEQ編集部
（記事は執筆時の情報に基づいており、現在では異なる場合があります）

IT・テックのコネクトメディア「ゼゼック」
カテゴリ毎のアーカイブ記事一覧
【カテゴリ別】2025年03月のアーカイブ一覧
【CVE-2024-13687】WordPressプラグインTeam Builder - Meet The Team 1.3に認証不備の脆弱性、管理者以外による設定変更のリスクが発生

記事の要約

Team Builder - Meet The Teamプラグインの認証不備を確認
バージョン1.3以前で設定変更の権限チェックが欠落
Subscriber以上の権限でプラグイン設定の変更が可能に

WordPressプラグインTeam Builder - Meet The Team 1.3の認証機能の脆弱性

WordPressのプラグイン「Team Builder - Meet The Team」において、バージョン1.3以前に認証に関する重大な脆弱性が発見され、2025年2月18日に公開された。この脆弱性は【CVE-2024-13687】として識別されており、save_team_builder_options()関数における権限チェックの欠落により、Subscriber以上の権限を持つユーザーがプラグインの設定を変更できる状態となっていた。^[1]

本脆弱性はCVSS 3.1で評価されており、攻撃元区分はネットワーク、攻撃条件の複雑さは低く、必要な特権レベルは低いとされている。影響範囲としては完全性への影響が限定的であり、可用性への影響は報告されていないものの、権限のないユーザーによる設定変更のリスクが指摘されている。

Wordfenceのセキュリティ研究者Peter Thaleikisによって発見されたこの脆弱性は、CWE-862（Missing Authorization）に分類される認証制御の不備である。脆弱性の深刻度はMediumと評価され、CVSS基本値は4.3となっており、早急な対応が推奨されている。

Team Builder - Meet The Teamの脆弱性詳細

項目	詳細
CVE ID	CVE-2024-13687
影響を受けるバージョン	1.3以前のすべてのバージョン
脆弱性の種類	認証制御の不備（CWE-862）
CVSS基本値	4.3（Medium）
発見者	Peter Thaleikis

認証制御の不備について

認証制御の不備とは、システムやアプリケーションにおいて、特定の機能やリソースへのアクセスに必要な権限チェックが適切に実装されていない状態を指す。主な特徴として、以下のような点が挙げられる。

権限のないユーザーが管理者機能にアクセス可能
重要な設定変更に対する権限検証が不十分
権限昇格につながる可能性がある深刻な脆弱性

Team Builder - Meet The Teamプラグインにおける認証制御の不備は、save_team_builder_options()関数での権限チェックが欠落していることに起因している。この脆弱性により、本来であれば管理者のみが実行できるはずの設定変更機能に、Subscriber権限のユーザーがアクセスできる状態となっていた。

Team Builder - Meet The Team 1.3の脆弱性に関する考察

WordPressプラグインの認証制御における脆弱性は、サイト全体のセキュリティを脅かす重大な問題となる可能性がある。Team Builder - Meet The Teamの脆弱性は、CVSSスコアこそ中程度であるものの、権限のないユーザーによる設定変更が可能となることから、サイトの管理やコンテンツの整合性に深刻な影響を及ぼす可能性が高い。

プラグイン開発者には、権限管理に関する徹底的なセキュリティレビューの実施が求められる。特にWordPressの権限モデルを考慮した適切な認証チェックの実装や、定期的なセキュリティ監査の実施が重要となるだろう。

今後はプラグインのアップデート管理をより厳格化し、脆弱性が発見された際の迅速な対応体制の構築が必要である。また、WordPressコミュニティ全体でセキュリティ意識を高め、開発者向けのセキュリティガイドラインの整備や、脆弱性診断ツールの活用促進など、より包括的な対策が求められる。