WordPressプラグイン「LiteSpeed Cache」にクロスサイトスクリプティングの脆弱性

ページを閲覧した方のブラウザ上でのスクリプト実行

コメントとして埋め込まれた記述がHTMLとして解釈され、攻撃者が用意したスクリプトがブラウザで実行されるおそれがあります。

閲覧中のページの表示内容が書き換えられる、入力した内容が外部へ送信される、別のサイトへ誘導されるといった影響が考えられます。

影響が継続し、以降の訪問者にも及ぶこと

コメントはデータベースに保存されるため、削除されるまでページに表示され続けます。さらに、この記述を含んだページはキャッシュとして保存されるため、その後に同じページを開いた訪問者へ同じ内容が配信されます。

訪問者は通常どおりページを開くだけで影響を受けます。サイト運営者がそのページを閲覧した場合も同様です。

確認されている影響の範囲

影響は、ページを閲覧したブラウザ上での動作に限られます。本脆弱性の処理そのものによって、サーバー上のファイルが書き換えられたり、データベースの内容が直接読み取られたりすることはありません。

前提：ページ表示時に画像のURLを置き換える仕組み

「次世代画像フォーマット」は、ページ内の画像を、より軽量なWebP/AVIF形式の画像へ自動で差し替える機能です。

一部のテーマやページビルダーは、画像のURLをHTMLの属性の中にJSON形式（データを構造的に記述する書き方）でまとめて持たせます。プラグインはこうした箇所にも対応するため、出力されるページ全体から特定の属性名を文字列として探し出し、その中身を読み取って画像URLを差し替え、元の位置に書き戻していました。

原因：無害化するかどうかの判定が、実際に処理する範囲と食い違っていた

HTMLでは、引用符や不等号といった記号を、そのまま書く代わりに「実体参照」と呼ばれる別の表記で記述できます。実体参照には、記号を名前で表す書き方と、番号で表す書き方の2種類があり、どちらもブラウザ上では同じ記号として扱われます。

プラグインは、読み取った内容を元の位置へ書き戻す際、次のような手順を取っていました。

• 読み取った文字列に実体参照が含まれていたかどうかを調べ、含まれていた場合にのみ、書き戻す内容を無害化（エスケープ）する
• 読み取った文字列は、実体参照を元の記号に戻したうえで中身を解析する

このとき、実体参照が含まれていたかどうかの判定は「名前で表す書き方」だけを対象にしていました。一方、元の記号に戻す処理は、名前・番号のどちらの書き方も対象にしていました。

そのため、番号で表す書き方だけを使って記述された内容は、実際には元の記号に戻されているにもかかわらず「実体参照は含まれていなかった」と判定され、無害化されないまま書き戻されていました。

結果：文字として扱われるべき内容がHTMLとして解釈される

書き戻された内容には、引用符やタグを構成する記号が元の形のまま含まれます。その結果、引用符が属性の区切りとして働いてしまい、後続の記述がブラウザにHTMLとして解釈される状態となっていました。

悪用の流れは、大きく次のようになります。

• 攻撃者が、番号で表す書き方だけで組み立てた文字列をコメントとして投稿する
• 投稿内容はタグとして解釈されない形になっているため、WordPress側の入力チェックを通過して保存・公開される
• ページの表示時に、上記の処理を経てブラウザにHTMLとして解釈される

対策版での修正

• 書き戻す内容は、元の文字列の状態にかかわらず、常に無害化（エスケープ）してから出力するよう変更
• 書き戻す範囲についても、属性全体を対象とするよう見直し、ページ内の他の箇所へ意図せず影響が及ばないよう修正