Everest Backupの報告：nonceだけでは権限を確認できない
訂正：旧記事は、バックアップの書き出し機能にnonceがあることを理由に、報告された問題を否定していました。この判断は誤りです。また、根拠を示さずに当社チームが調査したと述べていたため、その記述も削除しました。
Nonceの役割
WordPressのnonceは、クロスサイトリクエストフォージェリ対策に役立ちます。しかし、利用者にバックアップを書き出す権限があることは証明しません。WordPressは、nonceを認証や認可に使わないよう明示しています。機密性の高い操作では、current_user_can()などによる適切な権限確認と、対象リソースへのアクセス確認も必要です。
報告を評価するには
正確なプラグイン名、影響を受けるバージョン、エンドポイント、必要な利用者権限、開発元の告知を確認します。権限の低いアカウントがnonceを取得し、他の利用者のバックアップを要求できるかを調べます。検証は許可された隔離環境で、機密情報を含まないデータを使って行ってください。この記事は特定の影響バージョンを確定するものでも、Everest Backupの報告を誤検知と判断するものでもありません。
実際の対応
無権限の訪問者がバックアップファイルにアクセスできないようにし、書き出し権限を制限して、不審なダウンロードを確認します。開発元がサポートする更新を利用してください。情報漏えいが疑われる場合は事故対応手順に従います。更新だけで、すでに起きた漏えいを取り消すことはできません。