「WordPress」向けプラグイン「UsersWP」にSQLi脆弱性

コンテンツマネジメントシステム（CMS）の「WordPress」向けに提供されているプラグイン「UsersWP」に脆弱性が明らかとなった。

同ソフトウェアは、「WordPress」にユーザーの登録機能やプロフィールの表示機能などを追加できるプラグイン。

「同1.2.10」および以前のバージョンにタイムベースのSQLインジェクションの脆弱性「CVE-2024-6265」が判明した。データベースを不正に操作し、機密情報などを取得されるおそれがある。

DefiantのWordfenceでは、共通脆弱性評価システム「CVSSv3.1」において同脆弱性のベーススコアを「9.8」と評価。重要度を4段階中もっとも高い「クリティカル（Critical）」とレーティングしている。

同プラグインを提供するAyeCodeでは、現地時間6月24日に「同1.2.11」をリリースし、脆弱性を修正した。

（Security NEXT - 2024/07/03 ）ツイート