WordPress GiveWP の RCE 脆弱性 CVE-2024-9634 が FIX：CVSS 値は 9.8

CVE-2024-9634 (CVSS 9.8): Critical GiveWP Flaw Exposes 100,000+ WordPress Sites to RCE

2024/10/15 SecurityOnline — 100,000 万以上のアクティブなインストールを誇る、WordPress 用ドネーション・プラグインで GiveWP に、深刻な脆弱性 CVE-2024-9634 が発見された。この、PHP オブジェクト・インジェクションの脆弱性 CVE-2024-9634 の悪用に成功した未認証の攻撃者は、標的 Web サイト上での任意のコード実行を達成し、寄付者の機密データを危険にさらし、サイトを完全に制御する可能性を手にする。この脆弱性は、セキュリティ研究者の lefab により発見された。

GiveWP プラグインの脆弱性 CVE-2024-9634 は、give_company_name パラメータの不適切な処理に起因するものである。この脆弱性の悪用に成功した攻撃者は、悪意の PHP オブジェクトを注入し、既存の POP チェーン (コード実行を達成するために結合可能なコード内の一連のガジェット) と組み合わせることで、リモート・コード実行の可能性を得るという。

GiveWP プラグインが広範に普及していることを考えると、この脆弱性により、多数の Web サイトが危険にさらされるという懸念が生じる。CVE-2024-9634 を悪用する攻撃者は、任意のコードを実行し、認証や追加のセキュリティ対策のバイパスを必要とすることなく、影響を受けるサイトの完全な制御を可能にする。

すでに GiveWP の開発チームは、脆弱性を修正したパッチ版 3.16.4 をリリースしている。GiveWP の、すべてのユーザーに強く推奨されるのは、最新バージョンへと、ただちにアップデートすることだ。

このところ、GiveWP の脆弱性が続いていますね。2024/08/20 の「WordPress GiveWP の脆弱性 CVE-2024-5932 (CVSS 10.0) が FIX：10万以上のサイトが危険な状態に！」と、2024/09/29 の「WordPress GiveWP の脆弱性 CVE-2024-8353 が FIX：CVSS 10.0 の XSS」という具合に、毎月のように深刻な脆弱性が開示されています。よろしければ、WordPress で検索も、ご参照ください。