WP向け寄付管理プラグインに深刻な脆弱性 - ゼロデイ攻撃発生中
コンテンツマネジメントシステム(CMS)の「WordPress」向けプラグイン「Total Donations」に深刻な脆弱性が含まれていることがわかった。ゼロデイ攻撃が確認されている。
同脆弱性は、Calmar Webmediaが提供する寄付管理プラグイン。「同2.0.5」および以前のバージョンに、サイトの管理者権限を奪われるおそれがある脆弱性「CVE-2019-6703」が明らかとなったもの。Defiantが報告したもので、脆弱性の影響は多岐にわたっている。
同社によると、同プラグインのAJAXによる88の動作において、49に脆弱性が存在。新規にユーザーを作成し、管理者権限を設定したり、第三者が本来アクセスできないデータへアクセス可能となるなど重大な脆弱性が含まれるという。
さらに寄付の動作を変更したり、SQLインジェクション攻撃、スパムメールを配信するための踏み台になるおそれがあるほか、メーリングリストが漏洩する可能性なども指摘されている。
(Security NEXT - 2019/01/29 )
ツイート
関連リンク
PR
関連記事
iOS向けLINEアプリの「金融系モジュール」に脆弱性 - アップデートで修正済み
WP向け操作ログ記録プラグインにSQLi脆弱性 - パッチ未提供
「Node.js」向けMySQLクライアントにRCE脆弱性
「PuTTY」に脆弱性、「WinSCP」「FileZilla」なども影響 - 対象の旧鍵ペアは無効化を
Ivanti製モバイル管理製品「Avalanche」に深刻な脆弱性 - 一部PoCが公開済み
サードパーティ製ソフトに起因する脆弱性7件を修正 - Atlassian
「MS Edge 124」がリリース、脆弱性17件を修正
「PAN-OS」脆弱性への攻撃、国内でも被害報告
「ClamAV」にクリティカルパッチ - サービス拒否の脆弱性など修正
「PAN-OS」のアップデートが公開 - 旧版にも順次提供予定