CVE詳細 - CVE-2019-9978-

CVE-2019-9978 の詳細

CVEの情報

説明:
The social-warfare plugin before 3.5.3 for WordPress has stored XSS via the wp-admin/admin-post.php?swp_debug=load_options swp_url parameter, as exploited in the wild in March 2019. This affects Social Warfare and Social Warfare Pro.

CVE更新日: 2019-03-24 15:29:00.243000

CVSSバージョン: 3.1

CVSSスコア: 6.1

KEVの情報

KEV更新日: 2021-11-03

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.729460000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: medium

Automatable: False

AIを使った解説

解説:

CVE-2019-9978は、WordPressのSocial Warfareプラグインに存在する脆弱性であり、攻撃者がクロスサイトスクリプティング（XSS）やリモートコード実行（RCE）を悪用する可能性があります。

1. 脆弱性の概要

1.1 影響

この脆弱性は、Stored Cross-Site Scripting (XSS)を可能にし、悪意のあるスクリプトの不正な実行につながる可能性があります。これにより、ウェブページの動作が変更されたり、クッキーやセッショントークンなどのユーザーブラウザに保存された機密情報へのアクセスが可能になったり、管理者権限なしでウェブサイトのコンテンツが操作されたりする可能性があります。さらに、セッションハイジャックや権限昇格、またRemote File Inclusion (RFI)を悪用することで、リモートコード実行（RCE）に発展する可能性もあります。

1.2 深刻度

CVSS 3.0基本スコアは6.1（MEDIUM）と評価されています。ネットワーク攻撃ベクトル（AV）を持ち、攻撃の複雑性は低く（AC）、必要な特権はなく（PR）、ユーザーのインタラクションに依存します（UI）。一部の専門家はRCEにエスカレートする可能性から「Critical」と表現しています。EPSS (Exploit Prediction Scoring System)のスコアは2026年9月時点で72.9%であり、悪用の可能性が高いことを示しています。本脆弱性は2019年3月に実際に悪用されていることが確認されています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

この脆弱性はWordPressのプラグインに特化したものであり、特定のOSバージョンに直接影響を与えるものではありません。

2.2 影響を受ける設定

WordPressのSocial Warfareプラグインのバージョン3.5.3より前のバージョンが影響を受けます。具体的には、/wp-admin/admin-post.phpスクリプトに対してswp_debugパラメーターがload_optionsに設定され、swp_urlHTTP GETパラメーターを介してデータが渡される場合に脆弱性が存在します。

3. 影響を受けた時の兆候

影響を受けた際の兆候としては、以下が挙げられます。 * ウェブページ上で不正なスクリプトが実行される。 * 管理者権限なしでウェブサイトのコンテンツが操作される。 * ウェブサイトの予期せぬ動作やリダイレクトが発生する。 * 予期しない広告やコンテンツが表示される。 * ユーザーセッションやアカウントが侵害される。 * リモートコード実行（RCE）の発生。

4. 推奨対策

4.1 本対策

Social Warfareプラグインをバージョン3.5.3以降にアップデートしてください。また、プラグインやWordPress本体のアップデートを定期的に確認し、適用することが推奨されます。

4.2 暫定回避策（緩和策）

直ちにアップデートができない場合は、Web Application Firewall (WAF)のような追加のセキュリティレイヤーを導入し、XSS攻撃を検知およびブロックできるようにすることが有効です。定期的なセキュリティ監査の実施も推奨されます。

その他に解説すべき観点

この脆弱性は2019年3月に実際に悪用されていることが確認されました。
根本原因は、swp_urlパラメーターに対する不十分な入力サニタイズにあり、Stored XSSを許容します。また、リモートファイルインクルード（RFI）を介してRCEに発展する可能性があり、攻撃者は悪意のある外部URLを提供し、そのファイルに実行可能なPHPコードが含まれている場合にRCEにつながる可能性があります。
CISAは、この脆弱性を既知の悪用された脆弱性カタログ（Known Exploited Vulnerabilities Catalog）に追加しており、即時パッチ適用を推奨しています。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る