WordPress用多言語プラグイン「TranslatePress」に存在する重大な脆弱性により、未認証の攻撃者が管理者アカウントを乗っ取り、対象のWebサイトを完全に侵害できる可能性があることが分かりました。
Hacking& Cracking
この脆弱性はCVE-2026-19632として追跡されており、CVSSスコアは9.8で、TranslatePressのバージョン3.3.1までのすべてが影響を受けます。
この脆弱性は40万を超えるWordPressサイトに導入されているプラグインに存在します。セキュリティ研究者らは、攻撃者が管理者のパスワードリセットURLを取得し、アカウントのパスワードをリセットして、管理者権限でログインできる可能性があると警告しています。
この脆弱性に対処するため、開発元のCozmoslabsは8月13日にバージョン3.3.2をリリースしました。
WordPressのTranslatePressに存在する重大な脆弱性
この脆弱性は、Wordfenceの研究者momopon1415氏によって発見され、同社のバグバウンティプログラムを通じて責任ある開示が行われ、975ドルの報奨金が支払われました。
この問題は、TranslatePressが翻訳された送信メールを処理し、多言語コンテンツ用の文字列を保存する仕組みに起因しています。
TranslatePressはWordPressの`wp_mail()`関数と連携し、ユーザーに送信されるメッセージを翻訳します。管理者アカウントが公開済みの第二言語を使用している場合、パスワードリセットメールがこのプラグインによって翻訳されることがあります。
デフォルト設定である自動文字列保存が有効になっている場合、このプラグインは翻訳されたメール内容を言語別のデータベース辞書に保持します。しかし残念なことに、保存される内容にはパスワードリセットURL全体が含まれており、そこには平文のリセットキーとアカウントログインパラメータが含まれています。
通常、パスワードリセットリンクは本来の受信者のみがアクセスできるべきものです。しかし今回のケースでは、TranslatePressが意図せずこの機密URLを翻訳可能な文字列として保持してしまい、Webサイトのデータベース内に意図しないコピーが作成されてしまいます。
この攻撃の第2の要素は、`trp_get_translations_regular`というAJAXアクションに関わるものです。TranslatePressはこのアクションを使って、特定の文字列識別子に対応する翻訳辞書のエントリを取得します。
Wordfenceの技術分析によると、攻撃者は第二言語の翻訳辞書内のエントリを列挙し、該当する行を取得することができます。もしパスワードリセットURLがその辞書に保存されていれば、平文のまま露呈してしまう可能性があります。
管理者のユーザー名またはメールアドレスを知っている未認証の攻撃者は、パスワードリセットを発生させ、漏洩したリセットリンクを取得し、それが失効する前に使用することが可能です。その後、攻撃者は新しいパスワードを設定し、標的となった管理者になりすましてログインできてしまいます。
管理者権限を取得されると、影響の大きい侵害シナリオにつながります。攻撃者は不正な管理者アカウントを追加したり、バックドア入りのプラグインやテーマをインストールしたり、サイトのコンテンツを改ざんしたり、悪意のあるJavaScriptを注入したり、データを窃取したり、侵害したサイトをフィッシングやマルウェア配布に悪用したりする可能性があります。
なお、この脆弱性はすべてのTranslatePress導入環境・すべての状況下で存在するわけではない点に注意が必要です。悪用には自動文字列保存が有効になっていること、そして標的となる管理者のプロフィール言語が公開済みの第二言語に設定されていることが条件となります。
Hacking& Cracking
管理者がサイトのデフォルト言語を使用している場合、パスワードリセットメールは脆弱性のある第二言語翻訳のワークフローを経由しません。その結果、リセットURLは、今回の脆弱な機能を通じてアクセス可能な辞書テーブルには保存されないことになります。
しかし、組織はこうした前提条件を十分な防御策と見なすべきではありません。プロフィールの言語設定は変更され得ますし、複数の管理者がローカライズされたアカウントを使用している場合もあり、攻撃者は必要な条件を満たす任意の特権ユーザーを標的にする可能性があります。
Webサイトの運営者は、直ちにTranslatePressをバージョン3.3.2以降に更新する必要があります。管理者は、WordPressのユーザーアカウントを見直し、インストール済みのプラグインやテーマに不正な変更がないか確認し、管理者パスワードをローテーションし、侵害が疑われる場合は不審なセッションを無効化することも推奨されます。
Wordfenceは8月13日に、Premium、Care、Responseの各顧客向けにファイアウォールルールを適用しました。無料版のWordfenceユーザーには、9月12日に同じルールが提供される予定です。
最後に、WordPress管理者には多要素認証またはパスキーの有効化が推奨されます。これらの対策により、パスワードリセットがそのままアカウントへのアクセス許可につながることを防ぎ、認証情報を狙った乗っ取り攻撃のリスクを低減できます。
調査の遅れによるインシデントを防止しましょう。15,000のSOCによる脅威インテリジェンスでTier 1を強化: TI LookupをSOCに統合する
翻訳元: https://gbhackers.com/critical-wordpress-translatepress-flaw/