WP向けプラグイン「Social Login」に認証回避の脆弱性

コンテンツマネジメントシステム（CMS）の「WordPress」向けに提供されているプラグイン「Social Login」に深刻な脆弱性が明らかとなった。

同ソフトウェアは、クラウドサービスやSNSのアカウントなどを用いたいわゆる「ソーシャルログイン」の機能を追加するプラグイン

「同5.9.0」および以前のバージョンに、トークンで返されるユーザーの確認が不十分である点に起因し、認証を回避できる脆弱性「CVE-2024-10961」が明らかとなったもの。

攻撃者がメールアドレスを把握しており、対象ユーザーがトークンを提供するサービスに既存アカウントを持っていない場合に悪用されるおそれがあるという。

CVE番号を採番したDefiantのWordfenceでは、共通脆弱性評価システム「CVSSv3.1」のベーススコアを「9.8」と評価し、重要度を4段階中もっとも高い「クリティカル（Critical）」とレーティングしている。

現地時間11月24日の時点で脆弱性を修正するパッチはリリースされておらず、一時公開が中止されている。Defiantではプラグインの使用を停止し、代替手段を検討することなども挙げている。

（Security NEXT - 2024/11/25 ） ツイート

PR

関連記事

「ココナラスキルマーケット」に不正アクセス - 履歴書など流出
「コミックシーモア」で情報流出 - 影響など調査
ファンケルとアテニア、eコマースサイトの会員情報が流出
Progress製データ連携ツール向けAIエージェント定義ファイルに脆弱性
「Node.js」のセキュリティアップデート - 10月21日以降に公開予定
先週注目された記事（2026年10月11日〜2026年10月17日）
「Fortinet」「BeyondTrust」の脆弱性悪用に注意喚起 - 米当局
【特別企画】メッセージングセキュリティの最新動向がテーマ - JPAAWGが年次イベント
アプリ会員の個人情報が流出、詳細を調査 - バーガーキング
個人情報が流出、顧客宛のなりすましメールに過去の注文情報 - ムーンスター