WordPressプラグイン「Everest Forms」にサーバー上のファイルを読み取られる脆弱性

サーバー上のファイルの流出

• フォーム送信をきっかけに、Webサーバーが読み取れるファイルが通知メールに添付され、攻撃者のメールアドレスに届く。
• wp-config.php には、データベースの接続情報や、ログイン状態の確認に使われる認証用キーが記載されています。流出すると、環境によってはデータベースへの不正アクセスなどに悪用されるおそれがあります。

被害発生の条件

以下の条件がすべてそろった場合に、被害が発生する可能性があります。

1. Everest Forms Pro を導入している
2. 通知メールの「ファイル添付（Attach Files）」が有効になっている
3. フォームに、項目名（ラベル）に英字の「Signature」を含む入力欄がある（Pro版の署名欄の初期名や、「Signature」と名付けた通常のテキスト欄も含みます）
4. 通知メールの送信先が、フォームに入力されたメールアドレス（自動返信メールなど）になっている
5. 送信内容（エントリー）をサイトに保存する設定になっている

入力欄の識別名（メタキー）の仕組み

• Everest Forms では、入力欄ごとに、項目名をもとにした内部的な識別名（メタキー）が自動で付けられます。
• そのため、項目名に英字の「Signature」を含む入力欄には、「signature_」を含むメタキーが付きます。

問題点

• 通知メールにファイルを添付する処理では、メタキーに「signature_」を含む入力欄の値を、署名画像の保存場所（ファイルの場所を示す文字列）として扱っていました。
• その際、指定されたファイルが存在するかどうかしか確認しておらず、署名画像の保存場所の中にあるファイルかどうかは確認していませんでした。
• 入力欄の値は送信者が自由に書き込めるため、別のファイルの場所を書き込まれても、そのまま添付される状態でした。

悪用の大まかな流れ

• 攻撃者は、条件を満たすフォームを探す
• 「Signature」を含む入力欄に、取得したいファイルの場所を入力する
• メールアドレス欄に自分のアドレスを入力して送信する
• 指定したファイルが添付された通知メールを受け取る

（模倣防止のため詳細は伏せています）

対策版での修正

• 添付するファイルの場所を正規化（「../」のような上位フォルダへの移動を解決した本来の場所に変換）したうえで、そのフォームの署名画像を保存するフォルダの中にある通常のファイルかどうかを確認し、それ以外は添付しないよう変更
• 3.6.4 では本脆弱性のほかに、フォームに設定したカスタムJavaScriptの出力条件や、メールプレビュー画面の閲覧権限の確認など、複数のセキュリティ修正が行われています。