WordPress向け「Dynamics 365」連携プラグインにRCE脆弱性

コンテンツマネジメントシステム（CMS）の「WordPress」向けに提供されているプラグイン「Dynamics 365 Integration」に脆弱性が明らかとなった。

同プラグインは、マイクロソフトの「Dynamics 365」や「Dynamics CRM」と「WordPress」の連携を実現するソフトウェア。

テンプレートエンジン「Twig」における入力処理の不備に起因する「テンプレートインジェクション」の脆弱性「CVE-2024-12583」が明らかとなった。

寄稿者（Contributor）以上の権限をもつユーザーによって任意のコードを実行したり、任意のファイルを読み取ることが可能となる。

CVE番号を採番したDefiantのWordfenceでは、共通脆弱性評価システム「CVSSv3.1」のベーススコアを「9.9」、重要度を「クリティカル（Critical）」とレーティングした。

「同1.3.24」にて脆弱性は修正されており、利用者にアップデートが呼びかけられている。その後もアップデートが実施されており、2025年1月6日時点の最新版は「同1.4」となる。

（Security NEXT - 2025/01/07 ）ツイート