Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

WordPress向けのGDPR対応プラグインに深刻な脆弱性 - 乗っ取りや改ざん被害が発生

脆弱性の分析を行ったDefiantによると、脆弱性を悪用することで外部より設定を変更できるため、ウェブサイトを乗っ取ることが可能になる。

具体的には、「WordPress」において新規のユーザー登録を制限している場合であっても、脆弱性を利用することでだれでもユーザー登録が行えるようメンバーシップの設定を変更することが可能。さらに「新規ユーザーのデフォルト権限グループ」を「管理者」に変更することで、容易にウェブサイトを乗っ取ることが可能になるとしている。

侵害を受けると、「t2trollherten」「t3trollherten」といった不正な管理者が作成されたり、不正なファイルのアップロードや不正なプラグインの導入をはじめ、サイト改ざんのほか、サイトを破壊されるおそれもある。

また脆弱性によって「WordPress」におけるサイトのURL設定を変更し、不正サイトへ誘導する踏み台として悪用されるケースも多数報告されている。

(Security NEXT - 2018/11/19 ) このエントリーをはてなブックマークに追加

関連リンク

PR

関連記事

WordPress向けカートプラグインにXSSの脆弱性
WordPress向けSEOプラグインに脆弱性 - アップデートが公開
「WordPress 5.7.2」が公開 - 1件のセキュリティ修正
「WordPress」に2件の脆弱性 - 「同4.7」以降にアップデートを提供
WP向け会員制サイト構築プラグインにSQLi脆弱性
グラフや表を作成のWP向けプラグインに深刻な脆弱性
フォームカスタマイズ用WPプラグインに未修正の脆弱性
10月中旬よりWPプラグイン「File Manager」の探索行為が増加
WP用ユーザー管理プラグインに脆弱性 - サイト管理者権限奪われるおそれ
「WordPress 5.5.2」がリリース - セキュリティ関連で10件の修正