【CVE-2024-13582】WordPressプラグインSimple Pricing Tables For WPBakeryに深刻なXSS脆弱性が発見、Contributor権限での攻撃が可能に

text: XEXEQ編集部
（記事は執筆時の情報に基づいており、現在では異なる場合があります）

IT・テックのコネクトメディア「ゼゼック」
カテゴリ毎のアーカイブ記事一覧
【カテゴリ別】2025年03月のアーカイブ一覧
【2025年03月】セキュリティに関するアーカイブ一覧
【2025年03月03日】セキュリティに関するアーカイブ一覧
【CVE-2024-13582】WordPressプラグインSimple Pricing Tables For WPBakeryに深刻なXSS脆弱性が発見、Contributor権限での攻撃が可能に

記事の要約

Simple Pricing Tables For WPBakeryにXSS脆弱性を発見
WordPress用プラグインのバージョン1.0以前が影響を受ける
Contributor以上の権限で任意のスクリプト実行が可能

Simple Pricing Tables For WPBakeryプラグインの脆弱性

WordPressプラグイン「Simple Pricing Tables For WPBakery Page Builder」においてクロスサイトスクリプティング（XSS）の脆弱性が発見され、2025年2月18日に公開された。このプラグインのバージョン1.0以前において、wdo_simple_pricing_table_freeショートコードの入力値の検証と出力のエスケープが不十分であることが原因となっている。^[1]

この脆弱性を悪用されると、Contributor以上の権限を持つ攻撃者が任意のWebスクリプトを注入することが可能となり、ページにアクセスしたユーザーの環境でそのスクリプトが実行される危険性がある。CVSSスコアは6.4（MEDIUM）と評価され、攻撃の複雑さは低いとされている。

発見者はPeter Thaleikisで、WordfenceのセキュリティチームによってCVE-2024-13582として識別された。脆弱性が存在するプラグインのソースコードは、WordPressのプラグインリポジトリで確認することができ、plugins.trac.wordpress.orgに公開されている。

Simple Pricing Tables For WPBakeryの脆弱性の詳細

項目	詳細
CVE番号	CVE-2024-13582
影響を受けるバージョン	1.0以前
脆弱性の種類	Stored Cross-Site Scripting
CVSSスコア	6.4 (MEDIUM)
必要な権限レベル	Contributor以上
発見者	Peter Thaleikis

クロスサイトスクリプティングについて

クロスサイトスクリプティング（XSS）とは、Webアプリケーションの脆弱性の一種で、攻撃者が悪意のあるスクリプトを注入できる問題のことを指す。主な特徴として、以下のような点が挙げられる。

ユーザーの入力値が適切にサニタイズされずにWebページに出力される
攻撃者が注入したスクリプトが被害者のブラウザ上で実行される
Cookieの窃取やセッションハイジャックなどの攻撃が可能

Simple Pricing Tables For WPBakeryの事例では、プラグインのショートコード機能において入力値の検証と出力のエスケープが不十分であることが問題となっている。WordPressプラグインの開発においては、ユーザー入力の適切な処理とエスケープ処理の実装が重要な対策となるだろう。

Simple Pricing Tables For WPBakeryの脆弱性に関する考察

WordPressプラグインの脆弱性は、広く利用されているCMSの性質上、大きな影響を及ぼす可能性がある重要な問題だ。特にContributor権限での攻撃が可能な点は、多くのWordPressサイトで複数の投稿者が存在することを考えると、内部からの攻撃リスクとして注目すべき要素となっている。セキュリティアップデートの迅速な適用と、プラグイン選定時のセキュリティ評価の重要性が改めて浮き彫りとなったと言えるだろう。

今後は、入力値の検証と出力のエスケープに関するベストプラクティスの遵守が、プラグイン開発者に求められる重要な課題となる。WordPressのエコシステムにおいて、セキュリティ意識の向上とコードレビューの強化が必要不可欠だ。プラグインの品質向上とセキュリティ対策の両立が、持続可能なWordPressプラットフォームの発展につながるだろう。

また、WordPressコミュニティ全体でのセキュリティ意識の向上も重要な課題となっている。プラグインの脆弱性情報の共有体制の整備や、開発者向けのセキュリティガイドラインの充実化が望まれる。WordPressのセキュリティチームとプラグイン開発者の連携強化により、より安全なエコシステムの構築が期待される。