CVE-2025-3914 - Aeropage Sync for Airtable（WordPress）における任意ファイルアップロード

説明

Aeropage Sync for Airtable WordPressプラグイン（v3.2.0以下）は、aeropage_media_downloader関数におけるファイルタイプ検証の不備により、認証済みユーザーによる任意ファイルアップロードの脆弱性があります。

• 攻撃ベクトル: 認証済み（Subscriber以上の権限）
• 影響: 悪意のあるファイルアップロードによるリモートコード実行（RCE）
• CVSSスコア: 8.8（High）
• CVE ID: CVE-2025-3914

脆弱なコード

当該プラグインは、以下の検証が不十分です。

1. ファイル拡張子
2. MIMEタイプ（$mediaObject['type']は表面的なヘッダーのみチェック）
3. ファイル内容（マジックバイト検証なし）

主な脆弱関数

// 不十分なMIMEチェック（バイパス可能）
if(aeropageValidateMediaType($mediaObject['type'], $mimeTypes) == false){...}

// 直接ファイル書き込み（サニタイズなし）
$fp = fopen($uploadPathWithAttachmentID, 'w');
fwrite($fp, $downloadedfile);

概念実証（PoC）

必要条件

• Python 3.x + requests
• 有効な SubscriberレベルのWordPress認証情報

攻撃手順

1. 低権限ユーザー（Subscriber）として認証
2. 画像に見せかけた悪意ある .php ファイルをアップロード
3. アップロードしたファイルを介して任意のコードを実行

python3 CVE-2025-3914-PoC.py -u http://vulnerable-site.com -l subscriber -p password123

緩和策

1. アップデート：プラグインバージョン 3.2.0以上（利用可能な場合）
2. 以下を実装：
   • ファイル シグネチャ検証（finfo_file()）
   • ランダム化されたファイル名
   • アップロードディレクトリへの .htaccess制限

参考情報

• CVE-2025-3914
• OWASP 無制限ファイルアップロード

汎用的なPoCからの主な改善点

1. WordPress固有の認証（Cookie/Nonce処理）
2. 偽のJPEGヘッダー + PHPペイロード（表面的なチェックをバイパス）
3. レスポンスからの自動URL抽出（可能な場合）
4. Subscriberレベルに焦点（CVE詳細に準拠）

使用方法

python3 CVE-2025-3914-PoC.py -u http://wp-site.com -l subscriber -p password123

これは、テスト用の現実的で実用的なエクスプロイトを提供します（許可されたシステムでのみ使用してください！）。追加の改良が必要な場合はお知らせください。🔥