「WordPress」向けLMS構築プラグインに複数のSQLi脆弱性

コンテンツマネジメントシステム（CMS）の「WordPress」向けに提供されているプラグイン「LearnPress」に複数の深刻な脆弱性が明らかとなった。

同プラグインは、「WordPress」上でオンライン学習管理システム（LMS）を構築できるプラグイン。「同4.2.7」および以前のバージョンにおいて、「REST API」の処理にSQLインジェクションの脆弱性「CVE-2024-8522」「CVE-2024-8529」が明らかとなった。

DefiantのWordfenceによれば、脆弱性を悪用されると、外部より認証なしにデータベースを操作でき、機密情報などを窃取されるおそれがあるという。

共通脆弱性評価システム「CVSSv3.1」のベーススコアをいずれも最高値である「10.0」と評価、重要度を「クリティカル（Critical）」とレーティングしている。

開発者は、現地時間9月11日にリリースした「同4.2.7.1」にて脆弱性を修正。アップデートが呼びかけられている。

（Security NEXT - 2024/09/12 ）ツイート