Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

「WordPress」向けAMP対応プラグインに深刻な脆弱性 - アップデートで修正

コンテンツマネジメントシステム(CMS)「WordPress」向けに提供されているプラグイン「AMP for WP」に深刻な脆弱性が含まれていることがわかった。最新のアップデートで修正されている。

同ソフトウェアは、「WordPress」においてモバイル端末向けのページ表示を高速化する「AMP(Accelerated Mobile Pages)」の機能を追加することができるプラグイン。

本来権限をもたない登録ユーザーが直接関数を呼び出し、直接「Ajax」のフックを登録できる脆弱性が明らかとなったもの。WebARXのセキュリティ研究者が指摘した。実証コード(PoC)も公開されている。

脆弱性を悪用することでサイト上へ任意のJavaScriptを追加し、広告や仮想通貨をマイニングするスクリプトなどが埋め込まれるおそれがあるという。開発者は脆弱性を修正。10月29日にリリースした「同0.9.97.20」にて対処している。

(Security NEXT - 2018/11/16 ) このエントリーをはてなブックマークに追加

関連リンク

PR

関連記事

WP向けソーシャルボタンプラグインにゼロデイ攻撃 - アップデートが緊急公開
「WordPress 5.1.1」がリリース - XSSの脆弱性など修正
WordPress向けプラグイン「Smart Forms」にCSRFの脆弱性
「WordPress」向けフォーム作成プラグインにCSRFの脆弱性 - スクリプト挿入のおそれ
ソーシャルボタン設置する「WordPress」用プラグインに深刻な脆弱性
WP向け寄付管理プラグインに深刻な脆弱性 - ゼロデイ攻撃発生中
WordPress向けスパム対策プラグインにXSSの脆弱性
「WordPress」向けプラグイン「Google XML Sitemaps」にXSSの脆弱性
「WordPress」に複数脆弱性、「同5.0.1」がリリース - 旧版向け更新も
WordPress向けプラグイン「LoginPress」に脆弱性