JVNDB-2024-029799

 WordPress.orgのWordPress用WordPressにおける危険なタイプのファイルの無制限アップロードに関する脆弱性

WordPressは、ウェブ向けのオープンパブリッシングプラットフォームです。WordPressの「プラグイン → 新規追加 → プラグインのアップロード」画面では、管理者ユーザーがzipファイル以外のファイルタイプも新しいプラグインとして提出できます。インストールのためにFTP認証情報の入力が必要な場合（ファイルを「uploads」ディレクトリ外に移動するため）、アップロードされたファイルが許可されていなくても一時的にメディアライブラリで利用可能な状態になります。サイトで「DISALLOW_FILE_EDIT」定数が「true」に設定されており、さらに新しいテーマやプラグインをアップロードする際にFTP認証情報の入力が必要な場合、通常は任意のPHPコードを実行する手段がないユーザーであっても、技術的にリモートコード実行（RCE）を行うことが可能です。この問題は、シングルサイトの管理者レベルユーザー及びマルチサイトのスーパー管理者レベルユーザーのみに影響が及びます。それ以外の権限が低いユーザーは影響を受けません。「DISALLOW_FILE_MODS」定数が「true」に設定されているサイトは影響を受けません。また、管理者ユーザーがFTP認証情報の入力が不要、または有効なFTP認証情報にアクセスできる場合も、この問題は発生しません。この問題は2024年1月30日にWordPress 6.4.3で修正されており、バージョン6.3.3、6.2.4、6.1.5、6.0.7、5.9.9、5.8.9、5.7.11、5.6.13、5.5.14、5.4.15、5.3.17、5.2.20、5.1.18、5.0.21、4.9.25、2.8.24、4.7.28、4.6.28、4.5.31、4.4.32、4.3.33、4.2.37、4.1.40にはバックポートされました。回避策として、「DISALLOW_FILE_MODS」定数を「true」に定義すると、全ユーザーによるプラグインのアップロードが不可能になり、この問題は悪用できなくなります。

WordPress.org

• WordPress 4.1.40 未満
• WordPress 4.2 以上 4.2.37 未満
• WordPress 4.3 以上 4.3.33 未満
• WordPress 4.4 以上 4.4.32 未満
• WordPress 4.5 以上 4.5.31 未満
• WordPress 4.6 以上 4.6.28 未満
• WordPress 4.7 以上 4.7.28 未満
• WordPress 4.8 以上 4.8.24 未満
• WordPress 4.9 以上 4.9.25 未満
• WordPress 5.0 以上 5.0.21 未満
• WordPress 5.1 以上 5.1.18 未満
• WordPress 5.2 以上 5.2.20 未満
• WordPress 5.3 以上 5.3.17 未満
• WordPress 5.4 以上 5.4.15 未満
• WordPress 5.5 以上 5.5.14 未満
• WordPress 5.6 以上 5.6.13 未満
• WordPress 5.7 以上 5.7.11 未満
• WordPress 5.8 以上 5.8.9 未満
• WordPress 5.9 以上 5.9.9 未満
• WordPress 6.0 以上 6.0.7 未満
• WordPress 6.1 以上 6.1.5 未満
• WordPress 6.2 以上 6.2.4 未満
• WordPress 6.3 以上 6.3.3 未満
• WordPress 6.4.0 以上 6.4.3 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
さらに、当該ソフトウェアが完全に停止する可能性があります。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub Advisory Database : PHP file upload bypass via Plugin installer  Advisory  WordPress/wordpress-develop  GitHub

1. 危険なタイプのファイルの無制限アップロード(CWE-434) [その他]

1. CVE-2024-31210

1. National Vulnerability Database (NVD) : CVE-2024-31210

• [2026年01月09日]
    掲載