WP向けプラグイン「Social Login」に認証回避の脆弱性

コンテンツマネジメントシステム（CMS）の「WordPress」向けに提供されているプラグイン「Social Login」に深刻な脆弱性が明らかとなった。

同ソフトウェアは、クラウドサービスやSNSのアカウントなどを用いたいわゆる「ソーシャルログイン」の機能を追加するプラグイン

「同5.9.0」および以前のバージョンに、トークンで返されるユーザーの確認が不十分である点に起因し、認証を回避できる脆弱性「CVE-2024-10961」が明らかとなったもの。

攻撃者がメールアドレスを把握しており、対象ユーザーがトークンを提供するサービスに既存アカウントを持っていない場合に悪用されるおそれがあるという。

CVE番号を採番したDefiantのWordfenceでは、共通脆弱性評価システム「CVSSv3.1」のベーススコアを「9.8」と評価し、重要度を4段階中もっとも高い「クリティカル（Critical）」とレーティングしている。

現地時間11月24日の時点で脆弱性を修正するパッチはリリースされておらず、一時公開が中止されている。Defiantではプラグインの使用を停止し、代替手段を検討することなども挙げている。

（Security NEXT - 2024/11/25 ） ツイート

PR

関連記事

サイトPWなど含む子育て家庭訪問事業の案内を誤送付 - 足立区
複数ECサイトで個人情報流出か、営業は再開 - ユニバーサルミュージック
「SonicWall SMA 100」シリーズに脆弱性 - アップデートが公開
「Progress Flowmon」に脆弱性 - 10月の複数アップデートで修正
WP向けプラグイン「Contact Form CFDB7」に深刻な脆弱性
サイト掲載ファイルに個人情報、紙媒体チェックで気づかず - 一関市
業務用PCが所在不明、端末入替時に紛失か - 日特建設
業務用PCから個人情報流出か、詳細を調査 - JRバス関東
Apple、「iOS 26.1」「iPadOS 26.1」を公開 - 56件の脆弱性を解消
「CentreStack」「CWP」脆弱性の悪用に注意喚起 - 米当局