Elementor プラグインのセキュリティ・アップデート

Elementor プラグインにセキュリティ更新があったので、これを使用しているサイトの更新を行いました。更新内容は以下の通りです。

• プラグイン名　Elementor Website Builder – More than Just a Page Builder
• 開発元　Elementor.com
• 修正済みバージョン　3.13.4
• 危険度　5.4 (Medium)
• 脆弱性　Authenticated(Contributor+) Arbitrary Post Type Creation via save_item

 解説

認証されたユーザー（Contributor以上の権限を持つユーザー）が、”save_item”という機能を経由して、自由な投稿タイプを作成することができるという脆弱性を意味しています。

脆弱性の概要として、このプラグインには適切な権限チェックがなされていないため、本来はContributor以上のユーザーが利用できる機能であるはずの投稿タイプの作成機能が、それ以下の権限を持つユーザーにも利用可能となっているという問題があります。これにより、攻撃者が通常はアクセスできない投稿タイプを作成し、システムに影響を与える可能性があります。

このような脆弱性は、攻撃者が特権のないアカウントであっても、システムに深刻な影響を与えることができるため、プラグインの開発者やシステム管理者にとって重要な問題となります。

引用　ChatGPT