「WP eCommerce plugin」に深刻な脆弱性 - パッチは未提供

コンテンツマネジメントシステム（CMS）の「WordPress」向けに提供されているショッピングカートプラグイン「WP eCommerce」に深刻な脆弱性が明らかとなった。修正パッチは提供されていない。

ブラインドSQLインジェクションの脆弱性「CVE-2024-1514」が判明したもの。データベースから認証なしに情報を抽出されるおそれがある。

CVE番号を採番したDefiantのWordfenceは、共通脆弱性評価システム「CVSSv3.1」のベーススコアを「9.8」、重要度を4段階中もっとも高い「クリティカル（Critical）」とレーティングした。

2020年8月に最新版となる「同3.15.1」がリリースされて以降、4年近く更新が滞っている。3月3日の時点で脆弱性を修正したアップデートは提供されていない。

「WordPress.org」のプラグインディレクトリでは、現地時間2024年2月16日に同プラグインの公開を停止した。作者は開発が終了していることをほのめかすメッセージを同プラグインのウェブサイトに掲載している。

Defiantでは、同脆弱性の詳細について確認し、代替ソフトウェアに移行することも含め、リスクを踏まえた緩和策を実施するよう利用者に呼びかけている。

（Security NEXT - 2024/03/04 ）ツイート