WordPressプラグイン「Complianz」にクロスサイトスクリプティングの脆弱性

被害発生の条件

以下の条件がすべてそろった場合に、被害が発生する可能性があります。

• Elementor プラグインが有効になっている
• Complianz のCookieブロック機能（同意前にスクリプトを止める機能）が有効で、Facebook または X（旧Twitter）をブロック対象として設定している
• 細工されたコメントが承認されて公開ページに表示されている（または、投稿作成権限を持つユーザーが本文に書き込んでいる）

なお、WordPressの初期設定では、一度承認されたことのある投稿者（名前とメールアドレスが同じ場合）のコメントは自動で承認されます。そのため、2回目以降のコメントは審査を経ずに表示される点にご注意ください。

ブロック処理のしくみ

本プラグインは、ページを表示する直前にHTML全体を確認し、Elementor の Facebook／X ウィジェットを見つけると、同意が得られるまで読み込まれないよう、その部分を書き換えています。

問題点

• ウィジェットを探す条件（正規表現：文字列のパターン照合）が緩く、「ウィジェットを示す文字列」と「リンク先を示す文字列」がページ内のどこにあっても、ひと続きのウィジェットとして扱っていました。
• そのため、コメント内のリンクに付ける説明文などの属性値（HTMLタグに付く設定値）にこれらの文字列を含めるだけで、書き換えの対象になりました。
• 書き換えで挿入される文字列には引用符（”）が含まれるため、属性値の途中で書き換えが起きると、属性値の「内側」と「外側」の区切りがずれてしまいます。
• その結果、投稿時の安全確認（無害化処理）では単なる文字として通過した部分が、表示時にはスクリプトを実行する指定として解釈される状態となっていました。

攻撃の大まかな流れ

• 攻撃者が、特定の文字列を含むコメントを投稿する
• コメントが承認され、公開ページに表示される
• 閲覧者がページを開くと、書き換え処理によって崩れたHTMLからスクリプトが実行される

対策版での修正

バージョン 7.5.5 では、ウィジェットを探す条件が、HTMLタグの class 属性の中にある場合だけに限定され、属性値の途中で書き換えが起きないよう改められました。

あわせて修正された問題

同じバージョンでは、以下の問題もあわせて修正されています。いずれも更新によって解消されます。

• データリクエスト（個人情報の開示・削除などの申請）のCSV出力で、表計算ソフトが数式として扱う値（先頭が「=」など）が無害化されていませんでした（CSVインジェクション）。申請はログインなしで送信できるため、管理者がCSVを表計算ソフトで開いた際に、細工された数式が動作する可能性がありました。
• 同じCSVファイルは、推測しやすく、変更されないファイル名で公開フォルダに保存されていました。ファイル名を推測された場合、申請者の氏名やメールアドレスを第三者に閲覧される可能性がありました。対策版では、推測が困難なファイル名を出力のたびに作り直す方式に改められています。