Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

WordPressサイトの管理プラグインなどに深刻な脆弱性

コンテンツマネジメントシステム(CMS)のWordPress向けに提供されているプラグイン「InfiniteWP Client」「WP Time Capsule」に深刻な脆弱性が明らかとなった。脆弱性を突かれるとサイトを乗っ取られるおそれがある。

「InfiniteWP Client」は、「WordPress」で運営する複数のサイトを、外部サーバより統合管理できるプラグイン。少なくとも30万件以上のサイトに導入されており、開発者のサイトでは50万以上のサイトで導入されているとうたわれている。

同プラグインに認証をバイパスできる脆弱性が明らかとなったもので、管理者のユーザー名さえわかれば、細工したリクエストでパスワードなしにプラグインが導入されたサイトへログインが可能となる。

同脆弱性は、WebARXが発見したもので、1月7日に開発者へ報告。脆弱性を解消した「同1.9.4.5」が翌8日にリリースされた。

またWordPressのバックアップサービス「Backup and Staging by WP Time Capsule」向けに提供されているプラグインにも同様の脆弱性が判明。WebARXより報告を受けた開発者は、脆弱性を修正した「同1.21.17」を提供している。

アップデートがリリースされたことを受け、WebARXではセキュリティアドバイザリを同月14日にリリースし、脆弱性の詳細を公表。プラグインの利用者へ注意を呼びかけている。

(Security NEXT - 2020/01/17 ) このエントリーをはてなブックマークに追加

PR

関連記事

Google、「Windows 10」のゼロデイ脆弱性を公開 - セキュリティ機能をバイパス
「Flash Player」狙いのゼロデイ攻撃、3カ月前から準備か - 給与関連書類を偽装、C&Cは偽求人サイト
対「Struts 2」の脆弱性攻撃が発生、目的はマイニング - さらなる悪用増加に要警戒
シューズ通販ショップに不正アクセス - クレカ情報流出の可能性
Apple、「iOS 13.4」「iPadOS 13.4」をリリース
ゼロデイ脆弱性、攻撃対象は「Windows 7」 - 「Windows 10」への影響は限定的
「Adobe Creative Cloud」に深刻な脆弱性 - 定例外アップデートが公開
「Windows」に脆弱性、すでにゼロデイ攻撃も - 回避策などの実施を
「PHP」にセキュリティアップデート - 複数脆弱性を修正
「Drupal」にアップデート - サードパーティ製エディタに起因する脆弱性を解消