WordPressプラグイン「Elementor」に深刻なCSRF脆弱性、リンクのクリックだけで管理者権限を奪われる恐れ

要点

• 人気WordPressプラグイン「Elementor」に、サイト乗っ取りにつながる深刻なCSRF脆弱性が判明した。

• 影響を受けるのはバージョン4.3.0および4.3.1で、200万以上のサイトに導入されている。

• 管理者が細工されたリンクをクリックするだけで、攻撃者用の管理者アカウントが不正に作成される。

• 特定の文字列をパラメータに含めることで、サイト全体のREST APIに対するCSRF保護が回避されていた。

• 報告を受けた開発元により、脆弱性を修正した「バージョン4.3.2」がリリースされている。

• 1000万以上のWebサイトで利用されているWordPress向けページビルダープラグイン「Elementor Website Builder」において、外部から管理者権限を奪われる恐れのある深刻な脆弱性が明らかになった。WordPressセキュリティ企業のPatchstackが詳細を公表したもので、ログイン中の管理者が細工されたリンクを一度クリックするだけで、不正な管理者アカウントが作成される危険性があるという。この問題は、セキュリティ研究者からの報告を経てリリースされた最新の修正版「バージョン4.3.2」で対処されている。

200万以上のサイトに影響する深刻度8.8の脆弱性

今回確認された脆弱性は、ユーザーに意図しないWebリクエストを送信させる「クロスサイトリクエストフォージェリ（CSRF）」の欠陥である。脆弱性の深刻度を示すCVSS（共通脆弱性評価システム）のスコアは、10点満点中8.8と高深刻度に分類されている。現時点でCVE識別番号はまだ割り当てられていない。

この問題の影響を受けるのは、Elementorのバージョン4.3.0および4.3.1の2つのバージョンに限定される。Elementor自体は1000万以上のWordPressサイトで稼働しているが、WordPress.orgが公表している統計データによれば、影響対象となるこれら2つのバージョンだけでも、すでに200万を超えるサイトにインストールされているという。

特殊な前提条件を必要としない攻撃手法

Patchstackによると、この脆弱性を悪用した攻撃は、一般的なWeb攻撃と比べて実行のハードルが極めて低い点が特徴だという。攻撃を成立させるために、JavaScriptの実行や送信フォームの設置、あるいは攻撃者が管理する悪意あるWebサイトを用意するといった事前準備を一切必要としない。

攻撃用のリンクは、電子メール、チャットメッセージ、あるいはWebサイトのコメント欄などに記載されたごく普通のテキストリンク（アンカータグ）として埋め込むことができる。WordPressにログインしている管理者がそのリンクをクリックするだけで、そのアカウントの権限で実行可能なREST APIのアクションが勝手に実行されてしまう。標準的な構成のサイトであれば、管理者がリンクを踏んだ時点で、攻撃者のための第2の管理者アカウントが即座に生成されるとPatchstackは指摘している。

「Editor Events」モジュールによる保護回避の仕組み

脆弱性の原因は、Elementor内の「Editor Events」モジュールが持つ処理ロジックにある。このモジュールでは、リクエストURIのどこかに「elementor/v1/events/」という特定の文字列が含まれている場合、Cookie認証されたREST APIリクエストに対するCSRF保護の適用をスキップする仕様になっていた。

リクエストURIにはURL末尾のクエリ文字列も含まれるため、リンクを作成する攻撃者は任意のパラメータを自由に付加できる。そのため、末尾に一見無害なパラメータとして該当の文字列を追加するだけで、いかなるRESTリクエストであってもCSRF保護を無効化（オプトアウト）させることが可能だったという。

さらに、この保護回避はElementorの機能内だけにとどまらず、サイト全体のREST APIに適用される。WordPress本体（コア）のルートや、サイトにインストールされている他のすべてのプラグインのルートに対してもCSRF保護が無効化されてしまう。攻撃者はこの仕組みを突き、ユーザー管理用エンドポイントである「/wp/v2/users」に対してPOSTリクエストを送信させることで、管理者権限を持つ新規アカウントを不正に作成できる状態になっていた。

発見の経緯と修正バージョンの提供

この脆弱性は、セキュリティ研究者の「Saggre」氏によって発見され、責任ある開示（事前通知）のプロセスを経て報告された。開発元はこの報告を受け、今週初めにリリースされた「バージョン4.3.2」にて問題の修正を完了している。

なお、バージョン4.3.0より前のリリースには「Editor Events」のプロキシ機能が含まれていないため、今回の脆弱性の影響は受けない。プラグインの利用者に対しては、潜在的な攻撃リスクを排除するため、速やかに最新バージョンへの更新を適用することが呼びかけられている。