Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

WordPress向けセキュリティプラグインに複数の脆弱性

WordPressにおいてセキュリティ機能を追加するプラグイン「All In One WP Security&Firewall」に複数の脆弱性が含まれていることがわかった。修正版が公開されている。

同ソフトは、オープンソースの人気コンテンツマネジメントシステム(CMS)であるWordPress向けに提供されているセキュリティ機能を追加するプラグイン。認証や不正アクセス対策、スパム対策などを備える。

脆弱性情報のポータルサイトであるJVNによれば、管理ページへログインした状態で悪意あるページを読み込んだ場合、任意のSQLコマンドを実行される脆弱性「CVE-2015-0894」が、「同3.8.7」およびそれ以前のバージョンに含まれる。

また、「同3.8.9」およびそれ以前に関しては、プラグインが管理するアクセスログを削除されるおそれがあるクロスサイトリクエストフォージェリ(CSRF)の脆弱性「CVE-2015-0895」が存在。いずれの脆弱性についても修正した「同3.9.0」が公開されている。

今回修正された「CVE-2015-0894」に関しては、JPCERTコーディネーションセンターが調整を実施したもので、ななおく氏が情報処理推進機構(IPA)へ報告したものだという。

(Security NEXT - 2015/03/06 ) このエントリーをはてなブックマークに追加

PR

関連記事

「WordPress」向けAMP対応プラグインに深刻な脆弱性 - アップデートで修正
「WordPress」の人気eコマースプラグインに脆弱性 - 権限昇格のおそれ
「WordPress」向けeラーニングシステム構築プラグインに複数脆弱性
「WordPress」向けカレンダープラグインにXSSの脆弱性
ホスティングサービス上のWAF検知、約34%が「WordPress」狙い - SQLi攻撃目立つ
「WordPress」の管理者アカウント狙うフィッシング - DB更新口実に誘導
WordPressの脆弱な追加機能狙う攻撃 - サイト間感染のおそれも
「WordPress」のプラグイン狙う攻撃が急増 - 前四半期の10倍超に
日本セーリング連盟のオリ強サイトが改ざん - 未使用の旧CMSが原因か
毎月100件超のウェブ改ざん、委託状況含めてチェックを