Hippoo-Mobile-App-for-WooCommerce-CVE-Report

CVE-2025-13339 に関する開示

CVE-2025-13339 - Hippoo Mobile App for WooCommerce の脆弱性

このリポジトリは、Hippoo Mobile App for WooCommerce <= 1.6.1（hippooo が開発した WordPress プラグイン）で発見された脆弱性を公開します。

🛠 影響を受けるバージョン

• 製品: Hippoo Mobile App for WooCommerce
• バージョン: v1.6.1
• URL: https://wordpress.org/plugins/hippoo

🔒 割り当てられた CVE

🧾 詳細な説明

CVE-2025-13339 — 認証されていない任意ファイル読み取り

• 影響を受けるコンポーネント: Hippoo Mobile App for WooCommerce - PWA ルーティング
• 攻撃ベクトル: hippoo_serve クエリパラメータを介した、認証されていないパストラバーサル
• トリガー: プラグインはカスタムクエリ変数 hippoo_serve を登録し、HippooPwa::template_redirect() 内で、それを直接連結してファイルパスを構築します。

http://localhost:8080/?hippoo_serve=../../../../wp-config.php

• 影響: 認証されていない任意ファイル読み取り (AFD/LFI)。 攻撃者は、PHP プロセスから読み取り可能な機密ファイルを開示できます。例：
• wp-config.php (データベース認証情報、認証ソルト/キー)
• Web サーバー設定ファイル (例：.htaccess)
• サーバーの構成や権限によっては、各種ログファイルやその他の設定/秘密情報

wp-config.php が露出するだけで、通常はデータベースを危険にさらすのに十分であり、サイト全体の乗っ取りにつながる可能性があります。

❓ 脆弱性の原因

HippooPwa::template_redirect() における hippoo_serve の処理は、権限や認証チェックなしで公開フロントエンド上で実行されるため、誰でも（認証されていない訪問者を含む）ファイル提供ロジックをトリガーできます。

これを修正するには、current_user_can(“manage_options”) による認可チェックを追加し、外部入力を直接パスに追加しないようにする必要があります。

ひとこと

初めての任意ファイル読み取り脆弱性　wp-config.phpが読めるなら、結構クリティカルな脆弱性に昇華出来るので、もうちょっと報奨金欲しかった気持ちがある... でも自分はWordFence様にいくつものゴミレポートを送ってしまっているので、頭が上がりません。

🔍 発見者

名前: MooseLove
役割: 独立系セキュリティ研究者 / バグハンター
連絡先: リクエストに応じて提供

📚 参考文献

• 製品: https://wordpress.org/plugins/hippoo

⚠️ ライセンス

このアドバイザリは、セキュリティに関する一般の認識を高めるために提供されています。出典を明記して自由に共有してください。