テーマなどのカスタマイズができるWordPress向けプラグインに脆弱性

コンテンツマネジメントシステム（CMS）の「WordPress」向けに提供されているプラグイン「SeedProd Pro」に脆弱性が明らかとなった。

「SeedProd Pro」は、「WordPress」のテーマやランディングページをドラッグ＆ドロップでカスタマイズできるプラグイン。WordPress.orgのプラグインディレクトリで公開されている簡易版は、80万以上のサイトで有効化されている。

これら脆弱性について現地時間12月11日に公開したPatchstackによれば、同プラグインの「同6.18.10」および以前のバージョンにリモートよりコードの実行が可能となる脆弱性「CVE-2024-54285」が明らかとなったという。

「編集者」以上の権限を保つ場合悪用が可能としており、共通脆弱性評価システム「CVSSv3.1」のベーススコアは「9.1」と評価した。ただし、重要度は上から3番目にあたる「中（Medium）」とレーティングしている。

あわせてCVSS基本値が「7.6」とされるSQLインジェクションの脆弱性「CVE-2024-54283」「CVE-2024-54284」についても指摘している。

Patchstackは、これら脆弱性を解決するアップデートは未提供であると説明。プラグインの利用者に注意を呼びかけた。プラグインの開発元では、10月30日に「同6.18.11」、11月19日に「同6.18.12」をリリースしているが、脆弱性の修正については言及しておらず、修正状況は不明。

（Security NEXT - 2024/12/17 ）ツイート