Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

WordPressサイトの管理プラグインなどに深刻な脆弱性

コンテンツマネジメントシステム(CMS)のWordPress向けに提供されているプラグイン「InfiniteWP Client」「WP Time Capsule」に深刻な脆弱性が明らかとなった。脆弱性を突かれるとサイトを乗っ取られるおそれがある。

「InfiniteWP Client」は、「WordPress」で運営する複数のサイトを、外部サーバより統合管理できるプラグイン。少なくとも30万件以上のサイトに導入されており、開発者のサイトでは50万以上のサイトで導入されているとうたわれている。

同プラグインに認証をバイパスできる脆弱性が明らかとなったもので、管理者のユーザー名さえわかれば、細工したリクエストでパスワードなしにプラグインが導入されたサイトへログインが可能となる。

同脆弱性は、WebARXが発見したもので、1月7日に開発者へ報告。脆弱性を解消した「同1.9.4.5」が翌8日にリリースされた。

またWordPressのバックアップサービス「Backup and Staging by WP Time Capsule」向けに提供されているプラグインにも同様の脆弱性が判明。WebARXより報告を受けた開発者は、脆弱性を修正した「同1.21.17」を提供している。

アップデートがリリースされたことを受け、WebARXではセキュリティアドバイザリを同月14日にリリースし、脆弱性の詳細を公表。プラグインの利用者へ注意を呼びかけている。

(Security NEXT - 2020/01/17 ) このエントリーをはてなブックマークに追加

PR

関連記事

スマホアプリ「ぐるなび」に脆弱性 - 任意サイトへの誘導に悪用されるおそれ
「Chrome 89.0.4389.128」で脆弱性2件を修正 - いずれもエクスプロイトの報告あり
「Adobe Bridge」や「Photoshop」など複数Adobe製品に深刻な脆弱性
MS、月例セキュリティ更新で脆弱性108件に対応 - 一部でゼロデイ攻撃も
NEC製ルータ「Atermシリーズ」の複数製品に脆弱性
「Okta Access Gateway」にコマンドインジェクションの脆弱性
「Cisco SD-WAN vManage」に深刻な脆弱性 - アップデートが公開
一部シスコ製小規模向けVPNルータに深刻なRCE脆弱性
制御システム監視制御ソフト「ScadaBR」に脆弱性
「Aruba Instant」に複数の深刻な脆弱性