WordPressプラグイン「Complianz」にクロスサイトスクリプティングの脆弱性（YotuWP併用時）

被害発生の条件

以下の条件がすべてそろった場合に、被害が発生する可能性があります。

• YotuWP プラグインが有効
• Complianz のCookieブロック機能（同意前に外部サービスの読み込みを止める機能）が有効で、YouTube を利用サービスとして設定
• YotuWP のプレイリストを表示しているページで、コメントを受け付ける
• 細工されたコメントが承認されて公開ページに表示（または、投稿作成権限を持つユーザーが本文に書き込んでいる）

なお、WordPressの初期設定では、一度承認されたことのある投稿者（名前とメールアドレスが同じ場合）のコメントは自動で承認されます。そのため、2回目以降のコメントは審査を経ずに表示される点にご注意ください。

ブロック処理のしくみ

本プラグインは、ページを表示する直前にHTML全体を確認し、YotuWP のプレイリストを見つけると、同意が得られるまで再生が始まらないよう、その部分を書き換えています。

問題点

• プレイリストを探す条件（正規表現：文字列のパターン照合）が緩く、プレイリストの開始位置から、ページ内で最後に現れる「動画を示す文字列」までを、ひと続きのプレイリストとして扱っていました。
• そのため、プレイリストより後ろに表示されるコメント欄まで、書き換えの対象範囲に含まれていました。
• 書き換えの際に挿入される文字列には、引用符（”）が含まれます。
• コメント内のリンクに付ける説明文などの属性値（HTMLタグに付く設定値）の途中で書き換えが起きると、この引用符によって、属性値の「内側」と「外側」の区切りがずれてしまいます。
• その結果、投稿時の安全確認（無害化処理）では単なる文字として通過した部分が、表示時にはスクリプトを実行する指定として解釈される状態となっていました。

攻撃の大まかな流れ

1. 攻撃者が、特定の文字列を属性値に含めたコメントを、プレイリストのあるページへ投稿する
2. コメントが承認され、公開ページに表示される
3. 閲覧者がページを開くと、書き換え処理によって崩れたHTMLからスクリプトが実行される

対策版での修正

• 書き換えの対象が、プレイリストを囲むHTMLタグ1つだけに限定され、コメントなど他の部分は書き換えられないよう改められました。
• 動画IDの形式チェックと、出力するURLの無害化も追加されました。

あわせて修正された問題

同じバージョンでは、データリクエスト（個人情報の開示・削除などの申請）フォームに関する以下の問題もあわせて修正されています。このフォームはログインなしで送信できます。

• 同じメールアドレスで既に申請があるかどうかで応答内容が異なっていたため、第三者が特定のメールアドレスの申請状況を確認できた。
• 送信回数に制限がなかったため、任意のメールアドレス宛ての確認メールや、管理者宛ての通知メールを繰り返し送信させることが可能。
• 対策版では、応答内容の統一と、送信回数・メール送信回数の制限が追加されています。