WordPress向けセキュリティプラグインに複数の脆弱性

WordPressにおいてセキュリティ機能を追加するプラグイン「All In One WP Security＆Firewall」に複数の脆弱性が含まれていることがわかった。修正版が公開されている。

同ソフトは、オープンソースの人気コンテンツマネジメントシステム（CMS）であるWordPress向けに提供されているセキュリティ機能を追加するプラグイン。認証や不正アクセス対策、スパム対策などを備える。

脆弱性情報のポータルサイトであるJVNによれば、管理ページへログインした状態で悪意あるページを読み込んだ場合、任意のSQLコマンドを実行される脆弱性「CVE-2015-0894」が、「同3.8.7」およびそれ以前のバージョンに含まれる。

また、「同3.8.9」およびそれ以前に関しては、プラグインが管理するアクセスログを削除されるおそれがあるクロスサイトリクエストフォージェリ（CSRF）の脆弱性「CVE-2015-0895」が存在。いずれの脆弱性についても修正した「同3.9.0」が公開されている。

今回修正された「CVE-2015-0894」に関しては、JPCERTコーディネーションセンターが調整を実施したもので、ななおく氏が情報処理推進機構（IPA）へ報告したものだという。

（Security NEXT - 2015/03/06 ）ツイート