Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

WordPress向けのGDPR対応プラグインに深刻な脆弱性 - 乗っ取りや改ざん被害が発生

脆弱性の分析を行ったDefiantによると、脆弱性を悪用することで外部より設定を変更できるため、ウェブサイトを乗っ取ることが可能になる。

具体的には、「WordPress」において新規のユーザー登録を制限している場合であっても、脆弱性を利用することでだれでもユーザー登録が行えるようメンバーシップの設定を変更することが可能。さらに「新規ユーザーのデフォルト権限グループ」を「管理者」に変更することで、容易にウェブサイトを乗っ取ることが可能になるとしている。

侵害を受けると、「t2trollherten」「t3trollherten」といった不正な管理者が作成されたり、不正なファイルのアップロードや不正なプラグインの導入をはじめ、サイト改ざんのほか、サイトを破壊されるおそれもある。

また脆弱性によって「WordPress」におけるサイトのURL設定を変更し、不正サイトへ誘導する踏み台として悪用されるケースも多数報告されている。

(Security NEXT - 2018/11/19 ) このエントリーをはてなブックマークに追加

関連リンク

PR

関連記事

「WordPress」用決済プラグインに支払バイパスのおそれ
WPプラグイン「Easy Property Listings」にCSRF脆弱性
WordPressの脆弱性を診断するサービス - カゴヤ・ジャパン
WordPressサイトの管理プラグインなどに深刻な脆弱性
複数脆弱性に対処した「WordPress 5.3.1」がリリース
WP向けスペルチェックプラグインにCSRFの脆弱性
WordPress向けプラグイン「Jetpack」に脆弱性
WP向けグラフ作成プラグインにSQLiなど複数脆弱性
セキュリティ関連の修正6件含む「WordPress 5.2.4」がリリース
WP向けプラグイン「Rich Reviews」に対するゼロデイ攻撃が発生中