CVE-2025-1489 の再現

このリポジトリは、Web関連のCVE (CVE-2025-1489) を安全な環境で再現し、フォレンジック/脆弱性分析スキルを実演・練習するためのものです。

特定・再現された脆弱性は、WordPressプラグインWP-Appbox (バージョン4.5.4) におけるストアドクロスサイトスクリプティング (XSS) 脆弱性です。この欠陥により、投稿のAppboxショートコードに配置された攻撃者制御の入力が、ユーザーエスケープ属性に対する入力サニタイズと出力エスケープの不十分さによりページ出力にレンダリングされ、属性コンテキストを介した悪意あるスクリプトの実行が可能になります。この脆弱性は、WP-Appboxの以降のバージョン (4.5.5以上) で修正されています。

脆弱性の説明

プラグインは、アプリケーションID appID とユーザー提供のショートコード属性を受け入れるショートコード [appbox ...] を公開していますが、これらの属性はプラグインのエントリポイントで適切にサニタイズまたはエスケープされていません。

ソースコードファイル createoutput.class.php では、ショートコードデータの一部がHTML属性またはインラインスタイルに挿入されており、属性コンテキストインジェクションが可能です (199行目および438-447行目)。背景画像を強制する appID を作成することで、攻撃者サーバーへの繰り返し可能なアウトバウンド GET リクエストを確認できました。これはサーバーサイドストアドXSSの明確な指標です。

コンポーネント:

• アプリケーション: WordPress
• プラグイン: WP-Appbox 4.5.4、ショートコードとHTML生成パスを処理
• 言語/ランタイム: PHP 8.1, Apache
• テンプレート: 属性値が挿入されるWP-Appboxテンプレート
• ブラウザ: 被害者のブラウザで注入された属性コンテキストを実行

リポジトリ構造

├── attacker/                
│    ├── server.py            # 攻撃者HTTPサーバー: リクエストの提供とログ記録
│    └── requests.log         # WordPressブラウザから攻撃者サーバーへのインバウンドリクエストを記録
├── README.md                # 概要と再現手順
├── docker-compose.yml       # Docker構成設定
└── full_report.pdf          # 分析、緩和策、調査結果、影響範囲を含む完全レポート

再現手順

セットアップ:

• 使用ホストOS: MacOS (Linux/Windowsも可)
• コンテナプラットフォーム: Docker Desktop
• 使用イメージ: アプリケーション用 WordPress + MariaDB、WordPressサーバーからのインバウンドリクエストを記録するAttackerコンテナ
• 対象プラグイン: WP-Appbox 4.5.4 インストール
• ソフトウェアバージョン: WordPress 6.4, PHP 8.1, MariaDB 10.6, Python 3.11, WP-Appbox 4.5.4, Docker Desktop 4.43.2

前提条件: ホストに Docker Desktop と svn がインストールされていること。

手順:

1. WP-Appboxプラグインを入手: svn を使用してタグ4.5.4を取得:

svn checkout https://plugins.svn.wordpress.org/wp-appbox/tags/4.5.4 wp-appbox-4.5.4

2. Dockerラボを起動:

docker-compose up -d

3. WordPressのセットアップ:

   • localhost:8000 を開いてWordPressにアクセスし、管理者ユーザーを作成
   • プラグインを有効化: 「プラグイン」タブに移動し、WP-Appboxを有効化。
   • 少なくとも「作成者」のロール権限を持つ攻撃者ユーザーを作成。

4. 攻撃者ユーザーでログインし、「投稿」>「新規追加」に移動し、ショートコードブロックを使用して悪意のあるペイロードを作成し、ストアドXSS脆弱性を悪用する。