Atarim WordPressプラグインに影響する深刻な認証バイパス脆弱性である CVE-2025-60188について、重大な概念実証（PoC）エクスプロイトが公開されました。
セキュリティ研究者m4sh-wackerが技術的な詳細と動作するエクスプロイトコードを公開し、この人気プラグインに依存するWebサイト管理者の間で緊急の懸念が高まっています。
この脆弱性は、安全でないHMACベースの認証実装に起因しており、未認証の攻撃者が有効な署名を偽造して保護された管理機能にアクセスできるようになります。
この欠陥により、有効な認証情報を必要とせずに、機微なユーザー情報やシステム設定の詳細へ不正アクセスが可能になります。
攻撃チェーンは情報漏えいの脆弱性から始まります。HMACの秘密鍵として使用されるsite_idが、公開REST APIエンドポイント経由で露出しています。
この識別子は予測可能でアクセス可能なため、攻撃者はHMAC-SHA256アルゴリズムを用いてローカルで有効なリクエスト署名を計算できます。
この脆弱性は、影響を受けるWordPress環境に重大なリスクをもたらします。攻撃者は、ユーザー名、メールアドレス、ロール割り当てを含む個人を特定できる情報（PII）を抽出できます。
さらに、システム設定の詳細や潜在的なライセンスキーが露出する可能性があり、追加の侵害や横展開の機会を生み出します。
公開エンドポイント経由でsite_idにアクセスできるため、悪用は容易です。有効なリクエストを作成するのに認証やユーザー操作は不要です。
これにより悪意ある行為者の参入障壁が下がり、広範な悪用が発生する可能性が高まります。
公開PoCリポジトリには、完全な技術ドキュメントと、Pythonで書かれた機能するエクスプロイトコードが含まれています。
この即時の入手可能性は、潜在的な攻撃キャンペーンを加速させます。
Atarimプラグインを使用しているWordPressサイト管理者は、直ちに最新の修正済みバージョンへ更新することを最優先にすべきです。
セキュリティパッチでは通常、WordPressのソルト定数（wp_salt()）から導出した暗号学的に安全な秘密鍵を実装し、タイミングベースの攻撃を防ぐために定数時間比較関数を使用します。
プラグイン開発者は認証メカニズムを再評価し、予測可能または公開アクセス可能な識別子を暗号鍵として使用することを避けるべきです。
高エントロピーな秘密情報、安全な鍵導出関数、定数時間比較アルゴリズムなど、業界標準のプラクティスを実装することが、同様の脆弱性を防ぐうえで不可欠です。
組織は、Atarimプラグインの使用有無についてWordPress環境を監査し、不審な活動パターンがないかアクセスログを確認し、パッチが展開されるまで機微な管理機能に対する一時的な制限を検討すべきです。
セキュリティチームは、脅威評価およびインシデント対応プロトコルにおいて、この脆弱性を優先すべきです。
翻訳元: https://cyberpress.org/poc-exploit-released-for-atarim-plugin-authentication-bypass-vulnerability/