WordPress向けのGDPR対応プラグインに深刻な脆弱性 - 乗っ取りや改ざん被害が発生

脆弱性の分析を行ったDefiantによると、脆弱性を悪用することで外部より設定を変更できるため、ウェブサイトを乗っ取ることが可能になる。

具体的には、「WordPress」において新規のユーザー登録を制限している場合であっても、脆弱性を利用することでだれでもユーザー登録が行えるようメンバーシップの設定を変更することが可能。さらに「新規ユーザーのデフォルト権限グループ」を「管理者」に変更することで、容易にウェブサイトを乗っ取ることが可能になるとしている。

侵害を受けると、「t2trollherten」「t3trollherten」といった不正な管理者が作成されたり、不正なファイルのアップロードや不正なプラグインの導入をはじめ、サイト改ざんのほか、サイトを破壊されるおそれもある。