Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

WordPressサイトの管理プラグインなどに深刻な脆弱性

コンテンツマネジメントシステム(CMS)のWordPress向けに提供されているプラグイン「InfiniteWP Client」「WP Time Capsule」に深刻な脆弱性が明らかとなった。脆弱性を突かれるとサイトを乗っ取られるおそれがある。

「InfiniteWP Client」は、「WordPress」で運営する複数のサイトを、外部サーバより統合管理できるプラグイン。少なくとも30万件以上のサイトに導入されており、開発者のサイトでは50万以上のサイトで導入されているとうたわれている。

同プラグインに認証をバイパスできる脆弱性が明らかとなったもので、管理者のユーザー名さえわかれば、細工したリクエストでパスワードなしにプラグインが導入されたサイトへログインが可能となる。

同脆弱性は、WebARXが発見したもので、1月7日に開発者へ報告。脆弱性を解消した「同1.9.4.5」が翌8日にリリースされた。

またWordPressのバックアップサービス「Backup and Staging by WP Time Capsule」向けに提供されているプラグインにも同様の脆弱性が判明。WebARXより報告を受けた開発者は、脆弱性を修正した「同1.21.17」を提供している。

アップデートがリリースされたことを受け、WebARXではセキュリティアドバイザリを同月14日にリリースし、脆弱性の詳細を公表。プラグインの利用者へ注意を呼びかけている。

(Security NEXT - 2020/01/17 ) このエントリーをはてなブックマークに追加

PR

関連記事

「baserCMS」やプラグインにあわせて12件の脆弱性
脆弱性診断サービスを刷新、最短3日のプランも - PSC
Windows版が影響受ける深刻な脆弱性を解消した「PHP」新版
「Firefox 78.0.2」が公開 - フレーム設定をバイパスできる脆弱性を修正
Citrix製品にあわせて11件の脆弱性 - アップデートが公開
「SD-WAN by VeloCloud」に脆弱性 - アップデートがリリース
F5「BIG-IP」の脆弱性狙う攻撃を国内で観測
F5の「BIG-IP」シリーズに深刻な脆弱性 - リモートよりコード実行のおそれ
「PowerDNS Recursor」に脆弱性 - アップデートがリリース
「Samba」に4件の脆弱性 - アップデートがリリース