Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

WordPress向けのGDPR対応プラグインに深刻な脆弱性 - 乗っ取りや改ざん被害が発生

脆弱性の分析を行ったDefiantによると、脆弱性を悪用することで外部より設定を変更できるため、ウェブサイトを乗っ取ることが可能になる。

具体的には、「WordPress」において新規のユーザー登録を制限している場合であっても、脆弱性を利用することでだれでもユーザー登録が行えるようメンバーシップの設定を変更することが可能。さらに「新規ユーザーのデフォルト権限グループ」を「管理者」に変更することで、容易にウェブサイトを乗っ取ることが可能になるとしている。

侵害を受けると、「t2trollherten」「t3trollherten」といった不正な管理者が作成されたり、不正なファイルのアップロードや不正なプラグインの導入をはじめ、サイト改ざんのほか、サイトを破壊されるおそれもある。

また脆弱性によって「WordPress」におけるサイトのURL設定を変更し、不正サイトへ誘導する踏み台として悪用されるケースも多数報告されている。

(Security NEXT - 2018/11/19 ) このエントリーをはてなブックマークに追加

関連リンク

PR

関連記事

複数脆弱性を解消した「WordPress 5.2.3」がリリース
eコマースやRSSなどWordPress向けプラグイン2種に脆弱性
WP向け動画埋め込みプラグインに脆弱性
WP向け出勤管理プラグインなどに複数脆弱性
ウェブ訪問者とのチャットや追跡機能を提供するWP向けプラグインに脆弱性
オープングラフ対応を支援するWordPressプラグインに脆弱性
脆弱性で感染広げるボットネット「Muhstik」 - 「WebLogic」を標的に
「Drupal」脆弱性で感染を拡大するボット「Muhstik」見つかる
WP向けソーシャルボタンプラグインにゼロデイ攻撃 - アップデートが緊急公開
「WordPress 5.1.1」がリリース - XSSの脆弱性など修正