Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

60万以上のサイトで導入済のWordPress用フォームプラグインに脆弱性

コンテンツマネジメントシステム(CMS)の「WordPress」向けに提供されているプラグイン「Ninja Forms」に、SQLインジェクションの脆弱性が判明した。

同プラグインは、フォーム機能を追加できるソフトウェア。60万以上のサイトに導入されている。脆弱性を確認したSucuriによれば、サイトの登録者など、アカウントの保有者によって、SQLコマンドが実行可能となる脆弱性が存在するという。

アカウント保有者であれば、権限に関係なく脆弱性を悪用することが可能。ユーザー名やハッシュ化されたパスワードにくわえ、特定条件下でハッシュ値のソルト化に用いられるWordPressのシークレットキーを、取得されるおそれがあるとしている。

Sucuriでは、開発者へ脆弱性を報告。開発者は、8月11日にリリースした「同2.9.55.2」で脆弱性を修正。さらに同月16日には、ほかの問題にも対処した「同2.9.56」をリリースしている。Sucuriでは影響を受けるバージョンの利用者へできるだけ速く最新版へアップデートを行うよう注意を呼びかけている。

(Security NEXT - 2016/08/17 ) このエントリーをはてなブックマークに追加

PR

関連記事

「Cisco ISE」の脆弱性、順次パッチ提供 - リリース後は悪用コードが利用可能に
狙われる顧客管理ツール「SugarCRM」の脆弱性 - 米政府も注意喚起
「スシロー」のAndroidアプリにパスワード漏洩のおそれ - アップデートを
「VMware vROps」にCSRFの脆弱性 - アップデートが公開
脅威情報共有プラットフォーム「MISP」に脆弱性 - パッチで修正
脆弱性スキャナ「Nessus」にセキュリティアップデート
「VMware vRealize Log Insight」の深刻な脆弱性、PoCが公開
コンテナ管理プラットフォーム「Rancher」に深刻な脆弱性
macOS向けアップデート - 複数脆弱性を修正
狙われる「Telerik UI for ASP.NET AJAX」の既知脆弱性