[記事数:1,202] 日本を元気にするキーワード、地域活性化×中小企業× ITのTips and Quotes(秘訣と引用文)
creative  link  memo 

WordPress脆弱性プラグイン&テーマ



WordPress用プラグイン「All in One SEO Pack」における情報管理不備の脆弱性に関する情報を、JVN(Japan Vulnerability Notes)において公表した。

All in One SEO Packでは、初期設定で、本文の一部を含むMETAタグをページに追加する機能が有効となっており、WordPressの「パスワード保護」機能で閲覧を制限したページであっても、追加されたMETAタグから、パスワードを知らない第三者によって本文の一部を閲覧される可能性がある。

影響を受けるバージョンは、All in One SEO Pack Version 2.2.5.1およびそれ以前のもの。

同脆弱性の影響を回避するためには、All in One SEO Packの設定画面で「詳細を自動生成」(“Autogenerate Descriptions”)機能を無効にするか、または開発者が提供する情報をもとに、最新版へのアップデートを実施すればよいとのこと。

2015/03/26
脆弱性が含まれているのは「flashy version 1.3」および以前のバージョン。クロスサイトスクリプティングの脆弱性「CVE-2015-0901」により、ブラウザ上で任意のスクリプトを実行されるおそれがある。

コンテンツマネジメントシステム(CMS)の「WordPress」向け提供されているプラグイン「WordPress SEO by Yoast」において複数の脆弱性が修正された。

同製品は、WordPressにおいてサーチエンジンに対する最適化(SEO)機能を提供する人気プラグイン。今回明らかとなった脆弱性は、WPScanの開発メンバーが発見、報告したもので、実証コードも公開されている。

一部ページに、ブラインドSQLインジェクションの脆弱性「CVE-2015-2292」やクロスサイトリクエストフォージェリ(CSRF)の脆弱性「CVE-2015-2293」が存在。これらを組み合わせ、WordPressの管理画面へログインしたユーザーに、攻撃者が用意したサイトを訪問させたり、細工したリンクをクリックさせることで、ブラインドSQLインジェクション攻撃が実行されるおそれがある。

開発元では、脆弱性を修正した「同1.7.4」を用意。提供を開始している。

キヤノンITソリューションズは3月20日、セキュリティ情報を提供する「マルウェア情報局」で「Islamic State (ISIS)」と称する攻撃者により、複数のWebサイトが改ざんされる事案について報告した。

同社によると、「Islamic State (ISIS)」と称する攻撃者は国内外のWebサイトを対象に攻撃を行っており、改ざんされたWebサイトにアクセスすると「Islamic State (ISIS)」の画像や「Hacked by Islamic State (ISIS)」といったメッセージが表示されるという。

いくつかのサイトでは、WordPressのプラグイン「Fancybox for WordPress」の脆弱性を悪用し、改ざんが行われた可能性があるとのことだ。この脆弱性は以前から確認されており、ESETの「We live security」にて、2015年2月6日に報告されている。

この脆弱性を含んでいるのは、Fancybox for WordPress 3.0.2以前のバージョンだが、脆弱性はすでに修正されているという。同社は、Fancybox for WordPressプラグインを利用している場合、最新バージョンへアップデートするよう注意を呼びかけている。





FavoriteLoadingお気に入りAdd to favorites
WordPressのプラグイン「Jetpack」に脆弱性、直ちに更新を... WordPressのプラグイン「Jetpack」に脆弱性、直ちに更新を 悪用されれば管理者アカウントが乗っ取られたり、訪問者が不正なWebサイトに誘導されたりする恐れがある。  WordPressの人気プラグイン「Jetpack」の脆弱性を修正する更新版が5月27日に公開された。脆弱性はコメ...
Google Analytics連携用のWordPress向けプラグイン「Google Analyt... 「Google Analytics」連携用のWordPress向けプラグインに脆弱性 「Google Analytics」との連携を実現する「WordPress」向けプラグイン「Google Analyticator」に脆弱性が含まれていたことがわかった。アップデートが公開されている。...
複数のWordPressプラグインに脆弱性「Vulnerabilities Identified i... 複数のWordPressプラグインに脆弱性  l ead=8月12日(米国時間)、Threatpostに掲載された記事「Vulnerabilities Identified in Several WordPress Plugins|Threatpost|The first stop for ...
WordPress、7月に発見された深刻な脆弱性を修正... WordPress、7月に発見された深刻な脆弱性を修正 Charlie Osborne (Special to ZDNet.com) 翻訳校正: 編集部 2016年09月12日 10時21分  WordPressは米国時間9月7日、同社のコンテンツ管理システム(CMS)で発見された深刻な脆弱...
WordPressプラグイン「CCTM」にバックドア見つかる... WordPressプラグイン「CCTM」にバックドア見つかる 世界で最も多く使われているCMSであるWordPressは、ユーザーが多いことからサイバー攻撃の対象とされるケースが多い。また、WordPressをカスタマイズする目的で使われるプラグインに脆弱性が見つかることも多く、プラグインも...
米Sucuriでは、攻撃を受けているプラグインとして、「RevSlider」が最も多く、「Gravi... FBIでは、攻撃対象となったプラグインの具体的な名称を挙げていないが、米Sucuriでは、攻撃を受けているプラグインとして、「RevSlider」が最も多く、「GravityForms」が続いて多いと分析している。 画面のカスタマイズ機能を提供する「RevSlider」は、これまでも脆弱性が狙...
Yoast WordPress SEO plugin version 2.2脆弱性、2年を経て修正版... WordPress人気のプラグインに脆弱性、2年を経て修正版 6月11日(米国時間)、Threatpostに掲載された記事「Popular WordPress SEO Plugin Fixes XSS Bug|Threatpost|The first stop for security...
60万以上のサイトで導入済のWordPress用フォームプラグイン「Ninja Forms」に脆弱性... 60万以上のサイトで導入済のWordPress用フォームプラグインに脆弱性 コンテンツマネジメントシステム(CMS)の「WordPress」向けに提供されているプラグイン「Ninja Forms」に、SQLインジェクションの脆弱性が判明した。 同プラグインは、フォーム機能を追加できるソフ...
中国百度アプリに暗号化の不備、個人情報漏えいも=調査... 中国百度アプリに暗号化の不備、個人情報漏えいも=調査 ロイター 2月24日(水)16時42分配信 [シンガポール/北京 24日 ロイター] - 中国ネット検索大手の百度(バイドゥ)<BIDU.O>が、セキュリティーに不備のあるアプリを介して利用者の個人情報を収集しており、そうした情報の多くが...
WordPress用プラグイン「Welcart e-Commerce」の脆弱性を公表... IPAとJPCERT/CC、WordPress用プラグイン「Welcart e-Commerce」の脆弱性を公表 2016年6月24日 16:50  独立行政法人情報処理推進機構(IPA)セキュリティセンターと一般社団法人JPCERTコーディネーションセンター(JPCERT/CC)は24日、...

コメントを残す