Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

WordPress向けに人気SEOプラグインに複数の脆弱性

コンテンツマネジメントシステム(CMS)の「WordPress」向けに提供されている人気プラグイン「All In One SEO(AIOSEO)」に複数の脆弱性が明らかとなった。

同プラグインは、検索エンジン向けにウェブサイトを最適化する機能などを提供するプラグイン。300万件以上のサイトに導入されている。

一部要素に対してスクリプトを挿入することが可能となるクロスサイトスクリプティング(XSS)の脆弱性2件が明らかとなったもの。DEFIANTが脆弱性を発見し、1月26日に開発者へ報告した。

「CVE-2023-0585」について管理者権限が必要。一方「CVE-2023-0586」については寄稿者以上の権限で悪用できるため、投稿を編集者などがチェックした際などに悪用されるシナリオなどが想定されるとしている。

共通脆弱性評価システム「CVSSv3」における脆弱性のベーススコアは、「CVE-2023-0586」を「6.4」、「CVE-2023-0585」を「4.4」と評価。重要度をいずれも「中(Medium)」としている。

いずれも現地時間2月6日にリリースされた「同4.3.0」にて修正された。現在は、さらなる修正なども行われた「同4.3.1.1」が提供されている。

(Security NEXT - 2023/02/28 ) このエントリーをはてなブックマークに追加

PR

関連記事

「Microsoft Streaming Service」の脆弱性に対する攻撃に注意
小学校サイト掲載の学級通信に要配慮個人情報 - 豊田市
「Security Days Spring」、3月に東名阪で順次開催
顧客向け案内メールを「CC」送信 - トヨタツーリスト
県立高校で生徒の個人情報含む出席簿を紛失 - 埼玉県
個人情報含む労働力調査関係書類を紛失 - 群馬県
個情委、四谷大塚に行政指導 - 子どもを守るため特に注意必要
税関の入国者申告データが消失 - アプリ改修作業のエラー対応ミスで
公立保育園のUSBメモリ、車上荒らしで盗難 - 福井市
Ivanti、「外部整合性チェックツールICT」の機能強化版を公開