XStore の Eコマース・テーマの深刻な脆弱性が FIX：WordPress／WooCommerce が危険な状態に

Critical Security Flaws Uncovered in Popular WordPress eCommerce Theme XStore

2024/05/17 SecurityOnline — WordPress プラットフォーム上におけるオンライン・ストア構築のためのツールとして、広く利用されている XStore テーマと、それに付随する XStore Core プラグインに、一連の深刻な脆弱性が発見された。これらの脆弱性の悪用に成功した攻撃者は、Web サイトの乗っ取り／データ侵害／悪意のコード注入などの、さまざまな悪意のアクションを引き起こす可能性を持つ。

8theme により開発され、WordPress と WooCommerce に洗練されたオンライン・ストア構築を提供する XStore テーマには、44,000以上の販売実績があり、カスタマイズのための 130以上のプリメイド・デモも提供されている。

XStore テーマ自体には３つの深刻な脆弱性が存在する：

未認証のローカル・ファイル・インクルージョン：CVE-2024-33560： この脆弱性により、未認証のユーザーが、サーバ上の任意の PHP ファイルをインクルードすることが可能にななる。最悪のシナリオでは、悪意のユーザーがサーバ上の PHP ファイル上のコンテンツを制御するケースも生じ、最終的にコード実行へといたる可能性もある。

未認証での SQL インジェクション：CVE-2024-33559：この脆弱性により、未認証のユーザーが 、WordPress データベースのクエリ実行において、悪意の SQL クエリを注入することが可能になり、データベースの完全性とセキュリティを脅かす恐れが生じる。

認証済みの任意のオプション更新：CVE-2024-33564：この脆弱性により、認証済みのユーザーが、任意の WordPress オプションを更新することが可能になる。その結果として、権限の昇格や機密性の高いサイト機能への不正アクセスなどにつながる可能性が生じる。

XStore Core プラグインにおける深刻なセキュリティ・リスク：

未認証での SQL インジェクション：CVE-2024-33551：テーマの脆弱性と同様に、認証されていないユーザーが悪意の SQL クエリをデータベースに注入し、サイトのデータを危険にさらす可能性がある。

未認証での PHP オブジェクト・インジェクション：CVE-2024-33552：この脆弱性の悪用に成功した未認証のユーザーにより、脆弱な unserialize コールに対する、シリアライズされた文字列の引き渡しが可能になる。その結果として、任意の PHP オブジェクト・インジェクションを発生し、最悪の場合には、リモート・コード実行にいたる可能性が生じる。

未認証でのアカウントの乗っ取り：CVE-2024-33553： この脆弱性の悪用に成功した未認証の攻撃者により、任意のユーザーのパスワード・リセットが可能になる。その結果として、アカウント乗っ取りが可能となり、ユーザーのプライバシーとサイトのセキュリティに深刻な脅威が生じる。

これらの脆弱性は、テーマとプラグインにおける最新バージョンで、すでに修正されている。具体的には、XStore テーマのバージョン 9.3.9 と、XStore Core プラグインのバージョン 5.3.9 に、必要なパッチが含まれている。潜在的な脆弱性から Web サイトを保護するため、これらのバージョンへと、直ちにアップデートすることが強く推奨される。

ExploitDB：WordPress Theme XStore 9.3.8 – SQLi

XStore テーマですが、文中にも “販売実績” と記されているので、有償で提供される高機能テーマ／プラグインなのでしょう。どちらかと言うと、WordPress よりも WooCommerce で利用されるケースが多いのかと推測しています。よろしければ、WooCommerce で検索も、ご利用ください。