「WordPress」向けAMP対応プラグインに深刻な脆弱性 - アップデートで修正
コンテンツマネジメントシステム(CMS)「WordPress」向けに提供されているプラグイン「AMP for WP」に深刻な脆弱性が含まれていることがわかった。最新のアップデートで修正されている。
同ソフトウェアは、「WordPress」においてモバイル端末向けのページ表示を高速化する「AMP(Accelerated Mobile Pages)」の機能を追加することができるプラグイン。
本来権限をもたない登録ユーザーが直接関数を呼び出し、直接「Ajax」のフックを登録できる脆弱性が明らかとなったもの。WebARXのセキュリティ研究者が指摘した。実証コード(PoC)も公開されている。
脆弱性を悪用することでサイト上へ任意のJavaScriptを追加し、広告や仮想通貨をマイニングするスクリプトなどが埋め込まれるおそれがあるという。開発者は脆弱性を修正。10月29日にリリースした「同0.9.97.20」にて対処している。
(Security NEXT - 2018/11/16 )
ツイート
関連リンク
PR
関連記事
WordPress向け「Dynamics 365」連携プラグインにRCE脆弱性
テーマなどのカスタマイズができるWordPress向けプラグインに脆弱性
「WordPress」のメンテ機能を提供するプラグインにRCE脆弱性
WordPress向けスパム対策プラグインに複数の脆弱性 - すでに攻撃も
WP向けプラグイン「Social Login」に認証回避の脆弱性
WP向けセキュリティプラグインに深刻な脆弱性 - アップデートで修正
「WordPress」向け生成AI活用プラグインにRCE脆弱性
「LiteSpeed Cache」に権限昇格の脆弱性 - アップデートで修正
WordPress向けファイルアップロード用プラグインに深刻な脆弱性
寄付プラグイン「GiveWP」にRCE脆弱性 - 最新版へ更新を