Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

「WPTouch」など多数のWordPressプラグインに脆弱性

WordPress向けに提供されている複数のプラグインから、クロスサイトスクリプティングの脆弱性が見つかっているとして、セキュリティベンダーが注意を呼びかけている。関数の誤使用に起因し、多数のプラグインが影響を受けているという。

米Sucuriによると、問題の脆弱性は、4月13日の週に判明したもので、関数「add_query_arg()」「remove_query_arg()」の使用方法に起因。公式ドキュメントにある記載が不明確で、多くのプラグイン開発者が安全ではない方法で関数を用いていると同社は指摘している。

実際に影響を受けたプラグインを見ると、「WordPress SEO」「Google Analytics by Yoast」「All In one SEO」などSEO機能を提供するプラグインのほか、スマートフォン向けのインタフェースを提供する「WPTouch」、リンクのチェック機能を実現する「Broken-Link-Checker」、カレンダー機能を拡張する「My Calendar」、関連リンクを表示する「Related Posts for WordPress」など含まれる。

同社は、プラグイン開発者などと調整を実施。アップデートを呼びかけるとともに、WordPress利用者に対し、管理ダッシュボードからプラグインを最新へとアップデートするよう注意喚起を行っている。

これまでに同社が脆弱性を確認したプラグインは以下のとおり。

Jetpack
WordPress SEO
Google Analytics by Yoast
All In one SEO
Gravity Forms
Multiple Plugins from Easy Digital Downloads
UpdraftPlus
WP-E-Commerce
WPTouch
Download Monitor
Related Posts for WordPress
My Calendar
P3 Profiler
Give
Multiple iThemes products including Builder and Exchange
Broken-Link-Checker
Ninja Forms

(Security NEXT - 2015/04/23 ) このエントリーをはてなブックマークに追加

関連リンク

PR

関連記事

特定ルーター狙う攻撃が8割以上 - 「ThinkPHP」も標的に
WP向けソーシャルボタンプラグインにゼロデイ攻撃 - アップデートが緊急公開
レンサバWAFの攻撃検知状況、半数超が「SQLインジェクション」
「WordPress 5.1.1」がリリース - XSSの脆弱性など修正
ブラウザの更新通知を偽装する攻撃 - 1700以上の正規サイトに不正スクリプト
ウェブ経由の検知、「Trojan.JS.Redirector」が半数超 - 改ざん被害の多くでWP利用
WordPress向けプラグイン「Smart Forms」にCSRFの脆弱性
「WordPress」向けフォーム作成プラグインにCSRFの脆弱性 - スクリプト挿入のおそれ
ソーシャルボタン設置する「WordPress」用プラグインに深刻な脆弱性
WP用プラグインの開発者サイトに不正アクセス、顧客にメール - 元従業員が侵入か