「WordPress」向けメンバー管理プラグインにSQLi脆弱性

コンテンツマネジメントシステム（CMS）の「WordPress」においてメンバーの管理機能を提供するプラグイン「Ultimate Member」に深刻な脆弱性が明らかとなった。

「同2.8.2」から「同2.1.3」までにSQLインジェクションの脆弱性「CVE-2024-1071」が判明したもの。認証なしにデータベースを操作することが可能となり、機密情報が流出するおそれがある。

DefiantのWordfenceは、共通脆弱性評価システム「CVSSv3.1」のベーススコアを「9.8」、重要度を4段階中もっとも高い「クリティカル（Critical）」と評価している。

同脆弱性は、現地時間2月19日にリリースされたアップデート「同2.8.3」にて修正された。Defiantによると、セキュリティアドバイザリを公表した2月23日の時点で、過去24時間以内に脆弱性に対する53件の攻撃をブロックしたという。

（Security NEXT - 2024/03/04 ）ツイート