Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

WordPress向けのGDPR対応プラグインに深刻な脆弱性 - 乗っ取りや改ざん被害が発生

脆弱性の分析を行ったDefiantによると、脆弱性を悪用することで外部より設定を変更できるため、ウェブサイトを乗っ取ることが可能になる。

具体的には、「WordPress」において新規のユーザー登録を制限している場合であっても、脆弱性を利用することでだれでもユーザー登録が行えるようメンバーシップの設定を変更することが可能。さらに「新規ユーザーのデフォルト権限グループ」を「管理者」に変更することで、容易にウェブサイトを乗っ取ることが可能になるとしている。

侵害を受けると、「t2trollherten」「t3trollherten」といった不正な管理者が作成されたり、不正なファイルのアップロードや不正なプラグインの導入をはじめ、サイト改ざんのほか、サイトを破壊されるおそれもある。

また脆弱性によって「WordPress」におけるサイトのURL設定を変更し、不正サイトへ誘導する踏み台として悪用されるケースも多数報告されている。

(Security NEXT - 2018/11/19 ) このエントリーをはてなブックマークに追加

関連リンク

PR

関連記事

WP向けプラグイン「File Manager」脆弱性、国内でも悪用被害
脆弱なファイル管理用WPプラグインを狙う攻撃を国内で観測
WP向けファイル管理プラグインに深刻な脆弱性 - ゼロデイ攻撃も
Facebookの「WordPress」向けプラグインに脆弱性 - チャット乗っ取りのおそれ
WordPressの人気テーマ「Divi」に深刻な脆弱性
「WordPress 5.4.2」がリリース - 複数脆弱性を修正
WP向けプラグイン「Paid Memberships Pro」にSQLi脆弱性
WP向けプラグイン「Elementor Pro」に深刻な脆弱性 - ゼロデイ攻撃で発覚
セキュリティアップデート「WordPress 5.4.1」がリリース
「WordPress」向けメディア管理プラグインに脆弱性