[記事数:1,202] 日本を元気にするキーワード、地域活性化×中小企業× ITのTips and Quotes(秘訣と引用文)
creative  link  memo 

WordPressのプラグイン「WP Super Cache」に深刻な脆弱性



wpplgn0

WordPressのプラグイン「WP Super Cache」に深刻な脆弱性
悪用されれば管理者アカウントを追加されたり、バックドアを挿入されたりする恐れがあるという。

Webページの表示を高速化するためのWordPress用プラグイン「WP Super Cache」に深刻な脆弱性が発見され、修正のためのアップデートが公開された。

WP Super Cacheはダウンロード数が100万を超えている人気プラグイン。最新バージョンの1.4.4で脆弱性が修正されている。

セキュリティ企業Sucuriの4月7日のブログによると、修正前のバージョンには持続型クロスサイトスクリプティング(XSS)の脆弱性が存在していた。悪用された場合、攻撃者が細工を施したクエリを使って同プラグインのキャッシュされたファイルリスティングページに悪質なスクリプトを挿入することが可能だった。

ただし、このページを表示するためには有効なnonceを必要とすることから、攻撃を成功させるためにはWebサイトの管理者に手作業でその特定の部分を参照させる必要があるという。

問題のスクリプトが実行されれば新しい管理者アカウントを追加されたり、バックドアを挿入されたりする恐れがあるとして、Sucuriではできるだけ早くWP Super Cacheを最新バージョンに更新するよう呼び掛けている。

WordPressプラグインに脆弱性 – US-CERT
[2015/04/10]

US-CERTは4月9日(米国時間)、「WP Super Cache Cross-Site Scripting (XSS) Vulnerability」において、WordPressのプラグインである「WP Super Cache」の特定のバージョンに永続的に機能するクロスサイトスクリプティングの脆弱性が存在すると伝えた。この脆弱性を悪用されると、影響を受けたシステムの制御権を乗っ取られる危険性がある。

この脆弱性が存在するのは「WP Super Cache」のバージョン1.4.4よりも前のバージョン。US-CERTでは、WordPressのユーザーや管理者に対し脆弱性の内容を確認するとともに、脆弱性が存在するバージョンを使っている場合はバージョン1.4.4へアップグレードすることを推奨している。

WordPressは世界中で使われているCMSであり、脆弱性を突いた攻撃が実施されやすいソフトウェアとしても知られている。WordPress自体の脆弱性ではなく、WordPressで使われるプラグインやテーマの脆弱性が悪用されることが多い。WordPressを使用している場合は、WordPressのみならず、使用しているプラグインやテーマについてもセキュリティ情報をチェックしておくことが推奨される。





FavoriteLoadingお気に入りAdd to favorites
XSSやSQLiなど複数の脆弱性を修正した「WordPress 4.2.4」... XSSやSQLiなど複数の脆弱性を修正した「WordPress 4.2.4」 複数の脆弱性を修正したコンテンツマネジメントシステム(CMS)の新版「WordPress 4.2.4」の提供が開始された。前回のアップデート「同4.2.3」から、わずか2週間弱での公開となる。 今回の更新は、S...
「WordPress 4.7.3」公開 – セキュリティ以外でも39件を修正... 「WordPress 4.7.3」公開、XSSなど6件の脆弱性を修正 2017年3月7日 11:59  WordPressは6日、ブログツール「WordPress」のセキュリティアップデートとなるバージョン「4.7.3」を公開した。クロスサイトスクリプティング(XSS)の脆弱性3件や、クロス...
WordPress、人気eコマースサイトプラグインに脆弱性... WordPress、人気eコマースサイトプラグインに脆弱性 11月22日(米国時間)、Threatpostに掲載された記事「WordPress Plugins Leave Online Shoppers Vulnerable|Threatpost|The first stop for se...
WordPress用プラグイン「Welcart e-Commerce」の脆弱性を公表... IPAとJPCERT/CC、WordPress用プラグイン「Welcart e-Commerce」の脆弱性を公表 2016年6月24日 16:50  独立行政法人情報処理推進機構(IPA)セキュリティセンターと一般社団法人JPCERTコーディネーションセンター(JPCERT/CC)は24日、...
「WordPress 4.2」の更新版公開、全バージョンに深刻な脆弱性が存在... 2015年04月28日 07時01分 更新 「WordPress 4.2」の更新版公開、全バージョンに深刻な脆弱性が存在 セキュリティ企業によれば、WordPress 4.2、4.1.2、4.1.1、3.9.3の各バージョンにクロスサイトスクリプティング(XSS)の脆弱性が存在する。  W...
Lenovo、今度はThinkPadにユーザーデータ収集ソフトを潜ませていた... 2015年9月25日 20時59分 Lenovo、今度はThinkPadにユーザーデータ収集ソフトを潜ませていた 今年2月、中国メーカーのLenovoが、販売しているノートパソコンへ密かに凶悪なアドウェアを混入していることが発覚しましたが、今回新たに、ユーザーデータを収集するソフトウェアを埋...
米Sucuriでは、攻撃を受けているプラグインとして、「RevSlider」が最も多く、「Gravi... FBIでは、攻撃対象となったプラグインの具体的な名称を挙げていないが、米Sucuriでは、攻撃を受けているプラグインとして、「RevSlider」が最も多く、「GravityForms」が続いて多いと分析している。 画面のカスタマイズ機能を提供する「RevSlider」は、これまでも脆弱性が狙...
中国百度アプリに暗号化の不備、個人情報漏えいも=調査... 中国百度アプリに暗号化の不備、個人情報漏えいも=調査 ロイター 2月24日(水)16時42分配信 [シンガポール/北京 24日 ロイター] - 中国ネット検索大手の百度(バイドゥ)<BIDU.O>が、セキュリティーに不備のあるアプリを介して利用者の個人情報を収集しており、そうした情報の多くが...
「WordPress 4.4.2」公開、情報流出の脆弱性に対処... 「WordPress 4.4.2」公開、情報流出の脆弱性に対処 WordPress 4.4.2では2件の脆弱性が修正された。それより前のバージョンを使っているWebサイトは直ちに最新版に更新するよう強く勧告している。  オープンソースのコンテンツ管理システム(CMS)WordPressの更新...
WordPress用モバイル対応プラグイン「WP Mobile Detector」にゼロデイ攻撃 &... WordPress用モバイル対応プラグインにゼロデイ攻撃 - 修正版が公開 「WordPress」において、モバイル端末向けに最適なテーマを表示するためのプラグイン「WP Mobile Detector」に脆弱性が存在し、ゼロデイ攻撃が発生していたことがわかった。修正版がリリースされている。 ...

コメントを残す