Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

「WordPress」向けソーシャルログイン用プラグインに脆弱性 - パッチ未提供

コンテンツマネジメントシステム(CMS)の「WordPress」向けに提供されているプラグイン「Social Connect」に脆弱性が明らかとなった。アップデートは提供されておらず、プラグインの公開も一時停止している。

同プラグインは、ソーシャルメディアのアカウントを利用してログイン認証を行うプラグイン。「同1.2」において認証のバイパスが可能となる脆弱性「CVE-2024-4393」が判明した。

プラグインを利用したソーシャルログインにおいて「OpenIDサーバ」を十分検証しておらず、攻撃者がメールアカウントにアクセスできる場合、サイト上の既存ユーザーとしてログインすることが可能だという。

DefiantのWordfenceは、共通脆弱性評価システム「CVSSv3.1」のベーススコアを「9.8」、重要度を「クリティカル(Critical)」とレーティングしている。

脆弱性を修正したアップデートはリリースされておらず、WordPress.orgのプラグインディレクトリにおいて公開が一時停止されている。

(Security NEXT - 2024/05/08 ) このエントリーをはてなブックマークに追加

PR

関連記事

Google、「Chrome 126」を公開 - 複数脆弱性を修正
「FortiOS」に5件の脆弱性 - アップデートで修正
Adobe10製品に脆弱性、CVSS基本値が最高値も
MS、月例セキュリティ更新を公開 - 「クリティカル」は1件のみ
サーバにランサム攻撃、業務に影響はなし - オイレス工業
ランサム被害による個人情報流出を確認 - 岡山県精神科医療センター
申込用に公開した表計算ファイルに個人情報 - 都立豊島病院
クラウドストレージでデータ流出や消失被害 - ビルコム
転職支援サイトに不正アクセス - 海外サイトに会員情報
小学校児童の個人情報が記載されたサポート票を紛失 - 大阪市