OVERVIEW
2024年8月20日をもって、WordPressプラグイン「Custom Field Suite」は公式リポジトリから削除され、ダウンロードが不可能となりました。
この削除は、プラグインに複数の重大な脆弱性が存在することが原因で、開発者のリクエストにより永久的な削除が行われました。
この記事では、Custom Field Suiteプラグインの概要と、発見された脆弱性、影響、そして推奨される対処方法について説明します。
Custom Field Suiteプラグインとは
Custom Field Suiteは、WordPressサイトにカスタムフィールドを追加し、投稿やページに追加データを保存できるプラグインです。
このプラグインは、特に繰り返しフィールドを無料で扱える点が強みで、多くのユーザーに利用されてきました。
しかし、2024年5月以降、このプラグインに複数の脆弱性が発見され、現在では重大なセキュリティリスクとなっています。
問題の詳細
Custom Field Suiteプラグイン（バージョン2.6.7およびそれ以前）には、以下の4つの脆弱性が存在します。
- CVE-2024-3558: 投稿タイトルでの認証済みクロスサイトスクリプティング（XSS）
- CVE-2024-3562: ループカスタムフィールドでの認証済みPHPコードインジェクション
- CVE-2024-3561: タームカスタムフィールドでの認証済みSQLインジェクション
- CVE-2024-3559: 投稿内容での認証済みクロスサイトスクリプティング（XSS）
これらの脆弱性により、攻撃者は任意のコードを実行し、サイト全体のセキュリティを脅かす可能性があります。これらの問題はすべて、認証済みのユーザー（コントリビューターレベル以上）によって悪用されるリスクがあり、パッチが提供されていないため、解決策が存在しません。
影響とリスク
これらの脆弱性は、サイト管理者にとって非常に深刻なリスクをもたらします。攻撃者がこれらの脆弱性を利用することで、悪意のあるスクリプトをサイトに挿入したり、不正なデータベース操作を行ったりすることが可能です。
特に、管理画面にアクセスできるユーザーが限られている場合でも、フィッシングやセッションハイジャックなどの攻撃により、これらの脆弱性が悪用されるリスクがあります。
対処方法
- プラグインの無効化と削除: まだCustom Field Suiteプラグインを使用している場合は、すぐに無効化し、削除することを強く推奨します。
- 代替プラグインの導入: 同様の機能を持つ他のプラグイン、例えばAdvanced Custom Fields（ACF）やMeta Boxなどを検討し、カスタムフィールドの移行を行ってください。
- セキュリティ対策の強化: セキュリティプラグインを活用し、不正ログインや他の攻撃に対する防御を強化することも有効です。
まとめ
Custom Field Suiteプラグインは、その有用性にもかかわらず、複数の脆弱性が指摘され、2024年8月20日以降、ダウンロードが不可能となりました。
現在も使用中の場合、サイトのセキュリティを保護するために、直ちにプラグインの無効化・削除と、代替プラグインへの移行を行うことが重要です。
今後も最新のセキュリティ情報に注意を払い、必要な対策を講じることが求められます。