Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

WordPressサイトの管理プラグインなどに深刻な脆弱性

コンテンツマネジメントシステム(CMS)のWordPress向けに提供されているプラグイン「InfiniteWP Client」「WP Time Capsule」に深刻な脆弱性が明らかとなった。脆弱性を突かれるとサイトを乗っ取られるおそれがある。

「InfiniteWP Client」は、「WordPress」で運営する複数のサイトを、外部サーバより統合管理できるプラグイン。少なくとも30万件以上のサイトに導入されており、開発者のサイトでは50万以上のサイトで導入されているとうたわれている。

同プラグインに認証をバイパスできる脆弱性が明らかとなったもので、管理者のユーザー名さえわかれば、細工したリクエストでパスワードなしにプラグインが導入されたサイトへログインが可能となる。

同脆弱性は、WebARXが発見したもので、1月7日に開発者へ報告。脆弱性を解消した「同1.9.4.5」が翌8日にリリースされた。

またWordPressのバックアップサービス「Backup and Staging by WP Time Capsule」向けに提供されているプラグインにも同様の脆弱性が判明。WebARXより報告を受けた開発者は、脆弱性を修正した「同1.21.17」を提供している。

アップデートがリリースされたことを受け、WebARXではセキュリティアドバイザリを同月14日にリリースし、脆弱性の詳細を公表。プラグインの利用者へ注意を呼びかけている。

(Security NEXT - 2020/01/17 ) このエントリーをはてなブックマークに追加

PR

関連記事

SonicWall製品のVPNに深刻な脆弱性 - 約80万台に影響か
「VMware Horizon」のクライアントにサービス拒否の脆弱性
Linuxに脆弱性「BleedingTooth」が判明 - 近接環境からコード実行のおそれ
MS、定例外で2件のアップデートをリリース
「phpMyAdmin」に「SQLi」や「XSS」の脆弱性
AMDのオーバークロックソフトやグラフィックドライバに脆弱性
eコマースプラットフォーム「Magento」に複数の深刻な脆弱性
パロアルト製品に複数の脆弱性 - 深刻なRCE脆弱性も
QNAP製NASのアプリに深刻な脆弱性 - アップデートがリリース
「Outlook」にRCE脆弱性 - プレビューだけで悪用のおそれ