WPFormsプラグインに認証済み保存型XSSの脆弱性(CVE-2020-10385)が発見 ― バージョン1.5.9への即時アップデートを

WordPressの人気フォームプラグイン「WPForms」において、バージョン1.5.8.2以前に認証済みユーザーによる保存型XSS(クロスサイトスクリプティング)の脆弱性が存在することが、プラグイン監査の過程で確認されました。データのサニタイズ(無害化処理)を強化したバージョン1.5.9は、2020年3月5日にリリースされています。

CVE ID: CVE-2020-10385

概要

WPFormsは、300万以上のアクティブインストール数を誇るWordPress向けフォーム作成プラグインです。今回、認証済みユーザーによって悪用可能なクロスサイトスクリプティング(XSS)の脆弱性が発見されました。XSSとは、攻撃者が被害者のセッションクッキーやログイン認証情報の窃取、被害者になりすました任意の操作の実行、キーストロークの記録など、さまざまな悪意ある行為を行えてしまう脆弱性です。

脆弱性の詳細

WPFormsプラグインのフォームビルダーモジュールにおける「フォーム説明(Form Description)」および「フィールド説明(Field Description)」の各入力欄では、ユーザーからの入力値が適切にサニタイズされていなかったため、保存型XSSに対して脆弱であることが判明しました。

認証済みXSSであるため高危険度とまでは言えませんが、WordPressマルチサイト環境では、攻撃者がこの脆弱性を悪用することで、スーパー管理者(特権管理者)のクッキーを攻撃者のサーバーへ送信させたり、スーパー管理者を別ドメインへリダイレクトさせたりできる可能性を確認しました。たとえば、「ログアウトされました。再度ログインしてください」と表示するフィッシングページへ誘導し、認証情報を盗み取るといった手口が考えられます。

さらに調査を進めた結果、フォームビルダーの「プレビュー」機能にも反射型XSS(reflected XSS)の脆弱性が存在することを確認しました。

経緯(タイムライン)

2020年2月18日:WPForms開発チームへ脆弱性を報告
2020年3月5日:修正を含むWPFormsバージョン1.5.9がリリース

推奨される対応

プラグインを最新バージョンへ更新することを強く推奨します。セキュリティ対策をさらに強化したい場合は、以下のガイドも参考にしてください。

• WordPressセキュリティガイド
• WordPressのハッキング・マルウェア駆除ガイド

参考情報

• CVE-2020-10385(MITRE)
• WPScan Vulnerability Database
• WPForms変更履歴(Changelog)