Elementor Pro プラグインのセキュリティ・アップデート

Elementor Pro プラグインにセキュリティ更新があったので、これを使用しているサイトの更新を行いました。更新内容は以下の通りです。

• プラグイン名　Elementor Website Builder Pro
• 開発元　Elementor.com
• 修正済みバージョン　3.13.1
• 危険度　8.8 (High)
• 脆弱性　Authenticated(Subscriber+) Privilege Escalation via update_page_option

 解説

認証されたユーザー（Subscriber以上の権限を持つユーザー）が、”update_page_option”という機能を利用して特権の昇格（Privilege Escalation）を行うことができるという脆弱性を意味しています。

脆弱性の概要として、このプラグインには適切な権限チェックがなされていないため、通常は限定された権限を持つユーザーが利用できるはずの”update_page_option”という機能が、それ以上の権限を持つ操作を行うことができてしまいます。これにより、攻撃者は通常はアクセスできないような操作や設定を行い、特権の昇格を行うことができる可能性があります。

このような脆弱性は、攻撃者が通常は制限された権限であっても、システムやサイトの管理者と同等の権限を獲得することができるため、プラグインの開発者やシステム管理者にとって深刻な問題となります。権限チェックやアクセス制御の強化など、セキュリティ対策を実施することが重要です。

引用　ChatGPT