- SERVICE
Webサイト・CMSの保守管理・運用
- WORKS
- ABOUT US
- NEWS & COLUMN
- RECRUIT
皆さんこんにちは。taneCREATIVEの「ちほうタイガー」です。
この記事は2024年10月18日に執筆しています。
今回はContact Form 7 Database Addonのバージョンと脆弱性への対応状況についてまとめてみたいと思います。
Contact Form 7 Database Addonは、Contact Form 7の送信データを WordPressのデータベースに保存するための拡張機能(アドオン)であり、CiphercoinというチームないしプロジェクトにジョインしているArshidによって、開発・サポートされています。
WordPressのPlugin Directoryの統計情報によると、アクティブインストールは60万以上、総ダウンロード数535万回以上を計測しており、人気のあるプラグインの一つと言ってよいでしょう。
Web制作会社である当社も、WordPressを選択する際にはかなりの頻度で使用させていただいております。
一方で、人気のあるアドオンであるがゆえに、時としてその脆弱性が話題として取り上げられたりします。
そこで、この記事では、企業のWeb担当の皆様に向けて、Contact Form 7 Database Addonの概要並びに、脆弱性及びその対応状況をご紹介することで、Contact Form 7 Database Addonについては安心して使用していただけるようにしたいと思います。
少しでも皆様のお役に立てる記事にできればと思います。
どうぞよろしくお願い致します。
前述の通り、Contact Form 7 Database Addonは、Contact Form 7の送信データを WordPressのデータベースに保存するための拡張機能(アドオン)であり、CiphercoinというチームないしプロジェクトにジョインしているArshidによって、開発・サポートされているオープンソースのアドオンです。
このプラグインを使用すると、Contact Form 7の送信データを WordPressのデータベースに保存するだけでなく、下記のようにCSVでのエクスポートやスプレッドシートとの連携などができます。
データベースへの保存 |
Contact Form 7では、送信データを保存する機能は標準機能としては提供されていませんが、本アドオンを使用することで、フォームから送信されるデータ(名前、メールアドレス、メッセージ等)をWordPressのデータベースに保存することができます。 この機能により、管理画面で送信履歴を確認できるようになり、送信メールが紛失した場合でもデータの再確認が可能になります。 |
データのエクスポート |
保存されたフォームの送信データは、WordPress管理画面からCSVファイルとして簡単にエクスポートできます。 これにより、送信データを外部システムで分析したり、バックアップをとったりすることが可能になります。 |
前述のように、人気のあるプラグイン(ダウンロード数が多いプラグイン)は、攻撃のターゲットとして狙われやすいという側面があります。
当社では、WordPress自体は非常に堅牢なCMSであり、バージョンアップをしっかりと行えば大きな侵入のリスクは少ないと考えています。
実際に、WordPress本体(コア)の脆弱性の数はプラグインやテーマに比べて少なく、特に最近では緊急レベルの脆弱性報告は減少しています。
※詳細は、当社が公表しているWordPressの脆弱性情報一覧を参照してください。
一方で、膨大な数のプラグインやアドオンが存在し、それらの脆弱性を狙った攻撃が増加しています。
特に有名なプラグインは、多くのユーザーに利用されているため、脆弱性が発見された場合、そのプラグインを狙った攻撃が集中する可能性があります。
※「20 WordPress Statistics You Should Know in 2023」によれば、WordPressに関連する脆弱性の約90%はプラグインに、6%はテーマに、残りの4%はWordPressコアに起因しているとのことです。
そのため、定期的にアップデートされ、脆弱性が迅速に修正されることは、セキュリティ対策の観点から非常に重要です。
実際に、Contact Form 7 Database Addonにもいくつかの脆弱性が発見されており、これらは迅速に修正されています。
公式サイトに直接的な記載はありませんでしたが、Contact Form 7 Database Addonでは、基本的には一般的なセマンティックバージョニングが採用されているように見えます。
3つの数字の左から「メジャーバージョン.マイナーバージョン.パッチバージョン」となります。
なお、最近のバージョンでは4桁目の数字が追加されていますが、これはセマンティックバージョニングの定義に従ったビルド番号かもしれませんし、独自のバージョニング方式であるかもしれません。
いずれにせよ開発ログを見る限り、小規模なアップデート時であるようです。
2024年10月18日現在、Contact Form 7 Database Addonの最新バージョンは1.2.7であり、WordPress6.6.2までテストされています。
通常のオープンソースソフトウェアでは、公式のサポート(新機能の追加、不具合の改修、セキュリティパッチの提供)は最新バージョンのみを対象としており、Contact Form 7 Database Addonでも同様の対応が行われていると考えられます。
バージョン1.2.6.8以下には既知の脆弱性があるため、最新のパッチバージョンへのアップデートをしてください。
2024年10月18日現在での、Contact Form 7 Database Addonのバージョン情報は次の通りです。
バージョン | リリース日 | サポート期限 | 修正された脆弱性 |
1.2.7 | 2024年4月25日 | サポート中 | CVE-2024-3870 |
1.2.6.8 | 2024年2月19日 | 2024年4月25日 | - |
1.2.6.7 | 2023年8月10日 | 2024年2月19日 | - |
1.2.6.5 | 2022年10月26日 | 2023年8月10日 | CVE-2022-3634 |
1.2.6.4 | 2022年3月11日 | 2022年10月26日 | - |
1.2.6.3 | 2022年1月27日 | 2022年3月11日 | - |
1.2.6.2 | 2021年11月12日 | 2022年1月27日 | CVE-2021-36885 |
1.2.6.1 | 2021年11月12日 | 2021年11月12日 | CVE-2021-36886 |
1.2.6 | 2021年11月12日 | 2021年11月12日 | - |
1.2.5.9 | 2021年2月25日 | 2021年11月12日 | - |
1.2.5.8 | 2021年1月24日 | 2021年2月25日 | - |
1.2.5.7 | 2021年1月23日 | 2021年1月24日 | - |
1.2.5.6 | 2021年1月22日 | 2021年1月23日 | CVE-2021-24144 |
1.2.5.5 | 2021年1月22日 | 2021年1月22日 | - |
1.2.5.4 | 2021年1月19日 | 2021年1月22日 | Wordfence Acunetix |
※上記の内容は、WordPress公式サイトの開発ログの情報を正として、バージョン1.2.5.4までを掲載しています。
※バージョン1.2.6.8以下には既知の脆弱性が存在するため、グレーにしています。
Contact Form 7 Database Addonバージョン1.2.7では、当社が把握している全ての脆弱性に対応しています。
また、Contact Form 7 Database Addon 1.2.6.8以下のバージョンをご使用の場合には、最新バージョンへアップデートしてください。
特に、Contact Form 7 Database Addon 1.2.6.4以下のバージョンをご使用の場合には、緊急レベルの脆弱性があります。
至急最新バージョンへアップデートしてください。
なお、Contact Form 7 Database Addon自体に関する脆弱性情報で、当社が把握しているものは次の通りです。
脆弱性情報 | 深刻度 | 影響を受けるバージョン | 修正されたバージョン |
CVE-2024-3870 CVE-2024-3870 Detail |
CVSS v3 5.3 (警告) |
・Contact Form 7 Database Addon 7 1.2.6.8までのバージョン | ・Contact Form 7 Database Addon 7 1.2.7 |
CVE-2022-3634 JVNDB-2022-021376 |
CVSS v3 9.8 (緊急) |
・Contact Form 7 Database Addon 7 1.2.6.4までのバージョン | ・Contact Form 7 Database Addon 7 1.2.6.5 |
CVE-2021-36886 JVNDB-2021-016643 |
CVSS v3 8.8 (重要) |
・Contact Form 7 Database Addon 7 1.2.5.9までのバージョン | ・Contact Form 7 Database Addon 7 1.2.6.1 |
CVE-2021-36885 JVNDB-2021-016645 |
CVSS v3 6.1 (警告) |
・Contact Form 7 Database Addon 7 1.2.6.1までのバージョン | ・Contact Form 7 Database Addon 7 1.2.6.2 |
CVE-2021-24144 JVNDB-2021-004528 |
CVSS v3 7.8 (重要) |
・Contact Form 7 Database Addon 7 1.2.5.5までのバージョン | ・Contact Form 7 Database Addon 7 1.2.5.6 |
Wordfence Acunetix |
CVSS v3 8.8 (重要) |
・Contact Form 7 Database Addon 7 1.2.5.3までのバージョン | ・Contact Form 7 Database Addon 7 1.2.5.4 |
※脆弱性情報については、情報セキュリティにおける脆弱性情報に付けられている番号であるCommon Vulnerabilities and Exposures(本記事では「CVE」とします)の順序に従って掲載しています。CVEによる採番がなされていない脆弱性情報については、Wordfence及びAcunetixのリンクを掲載しています。
※深刻度については、共通脆弱性評価システムCVSS v3に基づいています。本記事では、CVSS v3にて緊急(9.0~10.0)、重要(7.0~8.9)、警告(4.0~6.9)に区分されるもののみを掲載しています。
※深刻度の数値はJapan Vulnerability Notes(本記事では「JVN」とします)及び、JVNが評価を合わせている米国国立標準技術研究所(NIST)が運営する脆弱性データベースであるNational Vulnerability Database(以下「NVD」)に準拠しています。なお、CVE番号が採番されていない脆弱性情報については、Wordfenceのスコアに準拠しています。
※本記事における脆弱性情報は、当社が把握しているものだけであり、全ての脆弱性情報を網羅できているかはわかりません。
※本記事における脆弱性情報をご利用になる場合には、必ずCVE、JVN、NVD 、Wordfence、Acunetixなどの情報を確認されたうえで、自己責任でご利用ください。
前述のように、Contact Form 7 Database Addonは、人気のあるプラグインであり、Web制作の現場でWordPressを利用する場合には、かなりの確率でお世話になるプラグインです。
しかしながら、Contact Form 7 Database Addon自体のバージョンアップをしようと思っても、Contact Form 7やWordPress、PHPのバージョンアップが必要であったり、設定が複雑であるなどの問題に直面することもあるかと思います。
taneCREATIVE社は、「リモートによるWebアプリケーションのセキュリティ対策をパッケージ化、首都圏大手企業に提供」している点が評価され、2021年にJ-Startup NIIGATAに選定されているWeb制作会社で、Contact Form 7 Database AddonとWordPressはもちろんのこと、PHP、MySQL、MariaDB、各種サーバーについてもノウハウを有しています。
※「J-Startup NIIGATA」とは、経済産業省が2018年に開始したJ-Startupプログラムの地域版として、新潟発のロールモデルとなるスタートアップ企業群を明らかにし、官民連携により集中的に支援する仕組みを構築することで、新潟県におけるスタートアップ・エコシステムを強化する取組です。
Contact Form 7 Database Addonのアップデートを含む保守管理に関しては、こちらのお問合せよりお気軽にご相談ください。
taneCREATIVEに所属する謎のトラ。