Fancy Product Designerプラグインの欠陥によりWordPressサイトが危険にさらされる

WooCommerce商品のカスタマイズを可能にする有料プラグイン「Fancy Product Designer」で、重大なセキュリティ脆弱性が2件確認されました。これらの問題は最新バージョン6.4.3でも未修正のままで、同プラグインを使用しているWordPressサイトに影響します。

Radykalが開発したこのプラグインは2万件以上の販売実績があり、幅広い商品カスタマイズを可能にします。しかしPatchstackの研究者は昨年、2つの重大な欠陥――未認証の任意ファイルアップロード脆弱性（CVE-2024-51919）と、未認証のSQLインジェクション脆弱性（CVE-2024-51818）――を発見しました。

脆弱性の詳細

未認証の任意ファイルアップロード脆弱性により、未認証ユーザーがPHPファイルを含む任意のファイルをアップロードでき、リモートコード実行（RCE）につながる可能性があります。この欠陥はsave_remote_fileおよびfpd_admin_copy_file関数に起因し、ユーザー入力の検証が不十分なため、適切な制限なしにファイルアップロードが可能になっています。

未認証のSQLインジェクションの欠陥は、権限のないユーザーがWordPressデータベースに対してSQLクエリを直接実行できるようにします。この問題はget_products_sql_attrs関数に由来し、入力のサニタイズが不十分で、SQLインジェクションのリスクに対して無効なstrip_tags関数に依存している点にあります。

Patchstackの研究者は2024年3月18日にベンダーへ連絡したとされていますが、いまだ返答を受け取っていません。脆弱性は2025年1月8日に公表されました。

SQLインジェクション攻撃について詳しく読む：ResumeLootersギャングが小売および求人サイトのデータを襲撃

セキュリティ推奨事項

Fancy Product Designerプラグインを使用しているWebサイト管理者は、セキュリティパッチが提供されるまで、直ちに無効化または削除することが推奨されます。

セキュリティ専門家は、同様の問題を防ぐために開発者へ次の実践を推奨しています：

• すべてのファイルアップロードを徹底的に検証し、ファイル名と拡張子の両方を確認する

• 許可するファイル種別はホワイトリスト方式で管理する

• SQLクエリにはプリペアドステートメントを実装する

• すべてのユーザー入力を適切にサニタイズし、エスケープする

定期的なコード監査を積極的に行うことも、WordPressプラグインにおける脆弱性リスクを大幅に低減できます。