[Skill 名] php-wordpress-audit

PHP WordPress フレームワークセキュリティ監査（php-wordpress-audit）

WordPress プロジェクトにおけるフレームワーク固有のセキュリティメカニズムを分析し、以下の点に重点を置きます。

• nonce 検証と capability 権限チェック（CSRF および権限昇格の防止）
• WordPress AJAX コールバック（admin-ajax.php の wp_ajax_* と wp_ajax_nopriv_*）
• 出力エスケープとテンプレートインジェクションのリスク（esc_html/esc_attr/esc_url/wp_kses など）
• $wpdb クエリのパラメータ化と直接連結のリスク
• リダイレクト（wp_redirect と wp_safe_redirect）
• アップロード処理（wp_handle_upload）と実行可能ファイルのリスク
• リモート HTTP（wp_remote_get/wp_remote_post）と SSRF 関連

入力

ユーザーが提供するもの：

• source_path：WordPress コードディレクトリのルート（wp-content/plugins またはテーマディレクトリを含む） オプション：
• output_path：出力ディレクトリパス（デフォルトは {source_path}_audit）

出力ディレクトリ

以下に出力されます。

{output_path}/framework_audit/
  wordpress_{timestamp}.md

フレームワーク識別（必須）

WordPress を識別する証拠点を提示する必要があります（根拠のない断言は許可されません）。

• ディレクトリの特徴：wp-content/、wp-admin/、wp-includes/
• コアファイル：wp-config.php または wp-settings.php
• プラグイン/テーマディレクトリ：wp-content/plugins/、wp-content/themes/

リスクタイプマッピング（必須）

すべての発見について、以下を明記する必要があります。

• 汎用タイプコード：AUTH / CSRF / XSS / SQL / CFG / SSRF / UPLOAD など
• マッピング理由：なぜ WordPress のリスクがそのタイプコードに分類されるのか

必須監査チェックリスト（必須：各項目をチェックし、結果を出力）

1) nonce と CSRF 防御（CSRF/AUTH）

以下を特定し、出力する必要があります。

• フォーム出力 nonce：wp_nonce_field またはカスタム nonce 出力
• 送信時の検証：check_admin_referer、wp_verify_nonce の位置
• AJAX nonce 検証：check_ajax_referer（存在する場合）

判定ルール：

• nonce は存在するが検証が欠落している、または一部の分岐でのみ出力されている場合、CSRF または AUTH リスクを出力します。

2) capability 権限検証（AUTH）

以下を特定し、出力する必要があります。

• すべての機密操作呼び出し前：current_user_can、user_can、is_user_logged_in
• capability 値がユーザーによって制御されているか、または広すぎるか（例：manage_options のみが欠落しているが、高権限操作が実行される場合）

3) AJAX action とルーティングの露出（AUTH/CSRF）

以下を特定し、出力する必要があります。

• add_action('wp_ajax_{action}', {value}) と add_action('wp_ajax_nopriv_{action}', {value})
• コールバック関数内部で能力と nonce の検証が行われているか

4) 出力エスケープと XSS（XSS）

以下を特定し、出力する必要があります。

• ユーザーデータを直接 echo/print している箇所
• esc_html、esc_attr、esc_url、wp_kses_post などが使用されているか
• プラグインやテーマがフィルタリングを無効にしているか、または raw 出力を使用しているか

5) $wpdb クエリのパラメータ化（SQL）

以下を特定し、出力する必要があります。

• 正しいパス：$wpdb->prepare と prepare プレースホルダーの使用
• 危険なパス：$wpdb->query、get_results、get_row での SQL 文字列の直接連結

6) リダイレクトとジャンプの安全性（REDIR/CFG）

以下を特定し、出力する必要があります。

• wp_redirect と wp_safe_redirect の使用状況
• 目的地のソース（通常はユーザー入力）と、scheme/host の検証が行われているか

7) アップロードとリモートリクエスト（UPLOAD/SSRF）

以下を特定し、出力する必要があります。

• アップロード：wp_handle_upload、media_handle_upload、およびファイルタイプ/ディレクトリ/アクセス制御が安全であるか
• リモートリクエスト：wp_remote_get/wp_remote_post、目的の URL が制御可能であるか、および許可リストが設定されているか

観測可能な PoC（必須：フレームワーク固有の観測可能な検証フレームワーク）

以下のいずれか 2 つ以上を提示し、観測点を明確に記述してください。

• CSRF：nonce 検証が欠落している action で、欠落または誤った nonce リクエストを構築し、応答と状態の変化を観察します。
• AUTH：capability 検証が欠落している action で、低権限ユーザーを使用して機密 action をリクエストし、成功するかどうかを観察します。

PoC 出力要件：

• action 識別子、実際の要求エントリ（通常 admin-ajax.php または対応するフォーム送信パス）を必ず含める必要があります。
• 観察したい結果（HTTP ステータスコードとビジネス側の効果）を必ず説明する必要があります。

出力完全性チェック（必須）

• [ ] 出力には、nonce/capability/AJAX/XSS/SQL/REDIR/UPLOAD/SSRF のチェック結果が含まれています。
• [ ] 各リスクには、マッピングタイプコード + 位置の証拠 + 観測可能な検証フレームワーク + 修正提案が含まれています。