WordPressプラグイン「Advanced Contact Form 7 DB」に深刻なSQLインジェクション（SQLi）脆弱性が発見

アクティブインストール数4万件を超える人気のWordPressプラグイン「Advanced Contact Form 7 DB」において、非常に深刻なSQLインジェクション（SQLi）脆弱性が発見されました。このContact Form 7関連の脆弱性は3月26日に初めて報告され、修正を施した新バージョン1.6.1が4月10日に公開されました。しかし、修正版がリリースされたとはいえ、現在利用中のユーザーには依然として懸念材料が残ります。なぜなら、この脆弱性はサブスクライバー（購読者）レベルのアカウントしか持たない攻撃者によっても悪用され得るからです。

Advanced Contact Form 7脆弱性のリスク状況

この脆弱性に伴うリスクは、悪意ある第三者によってさらに悪用される可能性があるため、「重大（クリティカル）」カテゴリーに分類されます。ハッカーにとっては、データベースへ不正なコードを挿入し、貴重なデータへアクセスするための自由な入り口にもなり得ます。

簡単にまとめると、以下のような被害が起こり得ます。

• 悪意ある者がデータベースに不正なコンテンツを挿入できる
• ハッカーが機密データを漏洩させられる
• WordPressサイト全体が侵害される可能性もある

プラグイン開発者は素早く修正版をリリースしました。そのため、WordPressはわずか2日前にYuzo Related Postsプラグインで行ったような配信停止措置を見送りました。Advanced Contact Form 7 DBは現在も新規インストールが可能です。WordPressプラグインディレクトリで「Advanced Contact Form 7 DB」と検索した際の表示がこちらです。

WordPressのセキュリティがご心配ですか？Astraのウェブサイトセキュリティをご覧いただくか、チャットウィジェットからメッセージをお送りください。喜んでサポートいたします。今すぐWordPressサイトを修復する。

Advanced Contact Form 7脆弱性の詳細

WordPressには、開発者が長いコードの代わりにショートコードを使用できるようにする仕組み「wp-ajax-parse-media-shortcode」が備わっています。これを利用して、プラグイン開発者はpublic/class-advanced-cf7-db-public.phpファイル内で「acf7db」というショートコードを定義しました。

さらに問題なのは、プラグイン開発者がもう一つの重要な要素であるwpdb::prepareを見落としていた点です。wpdb::prepareは、SQLクエリを無害化（サニタイズ）し、有効かつ正当なクエリのみを受け付けるようにするために使われる関数です。ところが開発者は、クエリ挿入において安全性が低い手法であるwpdb->get_results()を、wpdb::prepareの代わりに使用していました。脆弱なコードは下記の画像の通りです。

その結果、$fidが悪意あるコードをクエリとして受け取り、深刻な事態を引き起こす恐れがあります。ただし、現時点で実際の悪用報告はされていないことをここで明記しておきます。あくまで、ユーザーに事前に警告するための予防的な情報提供です。

必要な対応

サイトへの脅威を回避するため、できるだけ早くこのプラグインをアップデートしてください。その後、テーマの更新やパスワードのリセットも併せて実施することをおすすめします。この脆弱性が悪用された場合、機密性の高いデータが攻撃者に漏洩する可能性があります。

こうした攻撃からサイトを継続的に守るためには、月額19ドルで利用できるAstraのマルウェアスキャナーが便利です。また、VAPT（脆弱性診断・ペネトレーションテスト）サービスでは、専門エンジニアがサイトを徹底的に調査し、潜在的な脆弱性をすべて修正いたします。

今すぐAstraのデモを体験してみましょう！