Magento拡張機能「PDF Invoice Plus」に重大な脆弱性が発見 ― 今すぐアップデートを

PDF Invoice Plus Magento拡張機能の脆弱性について

数週間前、当社のセキュリティチームはMagentoを利用している顧客ストアに対してセキュリティ監査を実施していました。顧客が導入していた拡張機能のテストを行う過程で、「PDF Invoice Plus」という拡張機能に重大な脆弱性が存在することを突き止めました。この拡張機能は、数百規模のMagentoストアで顧客向け請求書の生成に使われている人気の高いツールです。通常、これらの請求書にはエンドユーザーの住所が含まれ、場合によっては個人情報まで記載されています。

脆弱性による影響

• エンドユーザーのデータ損失
• 誰でも他のユーザーの請求書をダウンロードできる状態になる
• Googleダーク（検索演算子）の悪用による請求書情報の漏洩

脆弱性の詳細

• PDF Invoice Plusを利用している任意のウェブサイトにアクセスする
• 次のようなURLを開くだけでよい：
  https://AnyMageStore.com/pdfinvoiceplus/order/print/order_id/208/
• URL内の「208」の部分の数値を変更し続けると、該当する番号の請求書が存在した場合、それがダウンロードされてしまう
• しかも、ウェブサイトにログインしていなくてもこの操作が実行できてしまう！

大規模な悪用の可能性

さらに調査を進めたところ、PDF Invoice Plusが請求書を公開するURLは、ほぼすべてのストアで共通していることが判明しました。これはGoogleダーク（特殊な検索コマンド）として悪用できることを意味します。実際に、次の検索クエリを試してみました。

inurl:pdfinvoiceplus/

その結果、PDF Invoice Plusを利用しているウェブサイトが一覧として表示されました。

このようなMagentoストアでは、メインのサイトURLにpdfinvoiceplus/order/print/order_id/508/というパスを付け加えるだけで、そのストアの顧客向けに生成された請求書をダウンロードできてしまいます。508という番号は、ストアごとに順次変更したり推測したりすることが可能です。

この拡張機能をご利用の場合は、本脆弱性による被害を防ぐため、必ず最新バージョンへアップデートすることを強くお勧めします。

対応の経緯（タイムライン）

PDF Invoice Plusの開発チームは、問題を非常に素早く把握し、直ちに修正作業に着手しました。チームから担当者が速やかに割り当てられ、修正対応が進められました。ほどなくして検証用の新バージョンが当社に提供され、確認が完了した後、安全性が確保された新版の拡張機能が顧客へリリースされました。