[記事数:1,202] 日本を元気にするキーワード、地域活性化×中小企業× ITのTips and Quotes(秘訣と引用文)
creative  link  memo 

WordPress脆弱性プラグイン&テーマ



WordPress用プラグイン「All in One SEO Pack」における情報管理不備の脆弱性に関する情報を、JVN(Japan Vulnerability Notes)において公表した。

All in One SEO Packでは、初期設定で、本文の一部を含むMETAタグをページに追加する機能が有効となっており、WordPressの「パスワード保護」機能で閲覧を制限したページであっても、追加されたMETAタグから、パスワードを知らない第三者によって本文の一部を閲覧される可能性がある。

影響を受けるバージョンは、All in One SEO Pack Version 2.2.5.1およびそれ以前のもの。

同脆弱性の影響を回避するためには、All in One SEO Packの設定画面で「詳細を自動生成」(“Autogenerate Descriptions”)機能を無効にするか、または開発者が提供する情報をもとに、最新版へのアップデートを実施すればよいとのこと。

2015/03/26
脆弱性が含まれているのは「flashy version 1.3」および以前のバージョン。クロスサイトスクリプティングの脆弱性「CVE-2015-0901」により、ブラウザ上で任意のスクリプトを実行されるおそれがある。

コンテンツマネジメントシステム(CMS)の「WordPress」向け提供されているプラグイン「WordPress SEO by Yoast」において複数の脆弱性が修正された。

同製品は、WordPressにおいてサーチエンジンに対する最適化(SEO)機能を提供する人気プラグイン。今回明らかとなった脆弱性は、WPScanの開発メンバーが発見、報告したもので、実証コードも公開されている。

一部ページに、ブラインドSQLインジェクションの脆弱性「CVE-2015-2292」やクロスサイトリクエストフォージェリ(CSRF)の脆弱性「CVE-2015-2293」が存在。これらを組み合わせ、WordPressの管理画面へログインしたユーザーに、攻撃者が用意したサイトを訪問させたり、細工したリンクをクリックさせることで、ブラインドSQLインジェクション攻撃が実行されるおそれがある。

開発元では、脆弱性を修正した「同1.7.4」を用意。提供を開始している。

キヤノンITソリューションズは3月20日、セキュリティ情報を提供する「マルウェア情報局」で「Islamic State (ISIS)」と称する攻撃者により、複数のWebサイトが改ざんされる事案について報告した。

同社によると、「Islamic State (ISIS)」と称する攻撃者は国内外のWebサイトを対象に攻撃を行っており、改ざんされたWebサイトにアクセスすると「Islamic State (ISIS)」の画像や「Hacked by Islamic State (ISIS)」といったメッセージが表示されるという。

いくつかのサイトでは、WordPressのプラグイン「Fancybox for WordPress」の脆弱性を悪用し、改ざんが行われた可能性があるとのことだ。この脆弱性は以前から確認されており、ESETの「We live security」にて、2015年2月6日に報告されている。

この脆弱性を含んでいるのは、Fancybox for WordPress 3.0.2以前のバージョンだが、脆弱性はすでに修正されているという。同社は、Fancybox for WordPressプラグインを利用している場合、最新バージョンへアップデートするよう注意を呼びかけている。





FavoriteLoadingお気に入りAdd to favorites
「WPTouch」など多数のWordPressプラグインに脆弱性... 「WPTouch」など多数のWordPressプラグインに脆弱性 WordPress向けに提供されている複数のプラグインから、クロスサイトスクリプティングの脆弱性が見つかっているとして、セキュリティベンダーが注意を呼びかけている。関数の誤使用に起因し、多数のプラグインが影響を受けているという。...
WordPressのプラグイン「WP Super Cache」に深刻な脆弱性... WordPressのプラグイン「WP Super Cache」に深刻な脆弱性 悪用されれば管理者アカウントを追加されたり、バックドアを挿入されたりする恐れがあるという。 Webページの表示を高速化するためのWordPress用プラグイン「WP Super Cache」に深刻な脆弱性が発見...
「WordPress 4.4.2」公開、情報流出の脆弱性に対処... 「WordPress 4.4.2」公開、情報流出の脆弱性に対処 WordPress 4.4.2では2件の脆弱性が修正された。それより前のバージョンを使っているWebサイトは直ちに最新版に更新するよう強く勧告している。  オープンソースのコンテンツ管理システム(CMS)WordPressの更新...
「WordPress 4.5.3」がリリース – 複数の脆弱性を解消... 「WordPress 4.5.3」がリリース - 複数の脆弱性を解消 コンテンツマネジメントシステム(CMS)である「WordPress」の開発者グループは、脆弱性や不具合を解消した最新版「WordPress 4.5.3」を公開した。更新を強く推奨している。 今回のアップデートは、セキュ...
公開済「WordPress 4.7.2」では深刻な脆弱性を修正 – 1週間遅れで情報開示... 公開済「WordPress 4.7.2」では深刻な脆弱性を修正 - 1週間遅れで情報開示 コンテンツマネジメントシステム(CMS)である「WordPress」の開発チームは、1月26日にセキュリティリリースとして公開した「WordPress 4.7.2」において、当初明らかにしていた脆弱性にく...
「WordPress」に深刻な脆弱性 – セキュリティ更新が公開... 「WordPress」に深刻な脆弱性 - セキュリティ更新が公開 コンテンツマネージメントシステム(CMS)の「WordPress」に、深刻な脆弱性が含まれていることがわかった。脆弱性を解消するセキュリティアップデートが公開されており、早急に更新するよう強く推奨されている。 セキュリティ...
「WordPress 4.3」が公開 – セキュリティ強化や180のバグ修正を実施... 「WordPress 4.3」が公開 - セキュリティ強化や180のバグ修正を実施 コンテンツマネジメントシステム(CMS)「WordPress」の開発者グループは、新版となる「同4.3」を提供開始した。 同バージョンは、ジャズシンガーのBillie Holidayにちなみ、「Bil...
中国百度アプリに暗号化の不備、個人情報漏えいも=調査... 中国百度アプリに暗号化の不備、個人情報漏えいも=調査 ロイター 2月24日(水)16時42分配信 [シンガポール/北京 24日 ロイター] - 中国ネット検索大手の百度(バイドゥ)<BIDU.O>が、セキュリティーに不備のあるアプリを介して利用者の個人情報を収集しており、そうした情報の多くが...
60万以上のサイトで導入済のWordPress用フォームプラグイン「Ninja Forms」に脆弱性... 60万以上のサイトで導入済のWordPress用フォームプラグインに脆弱性 コンテンツマネジメントシステム(CMS)の「WordPress」向けに提供されているプラグイン「Ninja Forms」に、SQLインジェクションの脆弱性が判明した。 同プラグインは、フォーム機能を追加できるソフ...
WordPressプラグイン「CCTM」にバックドア見つかる... WordPressプラグイン「CCTM」にバックドア見つかる 世界で最も多く使われているCMSであるWordPressは、ユーザーが多いことからサイバー攻撃の対象とされるケースが多い。また、WordPressをカスタマイズする目的で使われるプラグインに脆弱性が見つかることも多く、プラグインも...

コメントを残す