WP向けプラグイン「Social Login」に認証回避の脆弱性

コンテンツマネジメントシステム（CMS）の「WordPress」向けに提供されているプラグイン「Social Login」に深刻な脆弱性が明らかとなった。

同ソフトウェアは、クラウドサービスやSNSのアカウントなどを用いたいわゆる「ソーシャルログイン」の機能を追加するプラグイン

「同5.9.0」および以前のバージョンに、トークンで返されるユーザーの確認が不十分である点に起因し、認証を回避できる脆弱性「CVE-2024-10961」が明らかとなったもの。

攻撃者がメールアドレスを把握しており、対象ユーザーがトークンを提供するサービスに既存アカウントを持っていない場合に悪用されるおそれがあるという。

CVE番号を採番したDefiantのWordfenceでは、共通脆弱性評価システム「CVSSv3.1」のベーススコアを「9.8」と評価し、重要度を4段階中もっとも高い「クリティカル（Critical）」とレーティングしている。

現地時間11月24日の時点で脆弱性を修正するパッチはリリースされておらず、一時公開が中止されている。Defiantではプラグインの使用を停止し、代替手段を検討することなども挙げている。

（Security NEXT - 2024/11/25 ） ツイート

PR

関連記事

「MS Edge」にセキュリティアップデート - 脆弱性2件を解消
米当局、「Linuxカーネル」の脆弱性3件を悪用リストに追加
不正アクセスでサイト改ざん、内部に個人情報 - コンサル会社
理工学部教職員がフィッシング被害、不審メールが送信 - 日大
個人情報含む書類を民生委員の家族が誤廃棄 - 富津市
個人情報や非開示情報含むUSBメモリを紛失 - 医薬品医療機器総合機構
SynologyのNAS向けOSに深刻な脆弱性 - 修正版を提供
前回からわずか2日、「Chrome」が更新 - 「クリティカル」脆弱性を解消
セキュリティリリース「WordPress 7.1.1」が公開 - 脆弱性を解消
Ciscoのファイアウォール製品に多数の脆弱性 - 一部で悪用も