Magento拡張機能「Affiliate Plus」にXSS脆弱性が発見 – アップグレードを推奨

数週間前、弊社はMagentoストアをご利用のお客様に対してセキュリティスキャンを実施しました。ウェブサイトの監査を進める中で、チームはAffiliate Plusモジュールに重大な脆弱性を発見しました。Affiliate Plusの公式サイトによると、7,000以上のストアがこの拡張機能を利用しているとのことです。今回発見されたXSS脆弱性により、多くのMagentoストアが攻撃の危険にさらされる可能性があります。

Affiliate Plus MagentoモジュールのXSS脆弱性について

• アフィリエイトとしてMagentoストアにログインし、「My Program(マイプログラム)」セクションへ移動します
• 「Program Name(プログラム名)」欄に以下のJavaScriptコードを入力します:

<script>alert(/XSS_Vulnerability/)</script>

• 「search(検索)」ボタンをクリックします
• JavaScriptコードが実行されたことを示すポップアップが表示されます
• さらに、アプリケーションからSQLクエリまで出力され、SQLエラーやデータベース構造までもが露出してしまいます

考えられる影響

XSSは最も広く見られ、かつ頻繁に悪用されている脆弱性の一つであり、深刻な結果をもたらす可能性があります。反射型XSSの場合、その被害は特定の顧客に向けられることが多いものの、管理者データの窃取などを目的とした攻撃も実行され得ます。具体的には、以下のようなリスクが挙げられます:

• エンドユーザーのデータやアカウント情報の侵害・漏洩
• 標的型攻撃による管理者情報の窃取
• Webアプリケーションの内部ディレクトリ構造の暴露

対応の経緯

Affiliate Plusの開発チームは、問題を非常に迅速に把握し、直ちに修正作業に着手しました。必要な修正を積極的に展開し、パッチを適用した更新版モジュールを短期間でリリースしています。迅速かつプロフェッショナルな対応に、ぜひ拍手を送りたいと思います。同様の拡張機能をご利用の場合は、最新バージョンへのアップグレードと定期的なセキュリティ診断の実施を強くお勧めします。