WordPressセキュリティベンダーWordfenceのブログで、4つのWordPressプラグインの脆弱性が報告されています。
XSS脆弱性を利用した攻撃キャンペーンの解析を通じて判明したもので、どの脆弱性も攻撃用Javascriptを挿入し、不正なWordPress管理者の作成を可能にするものです。
Site Takeover Campaign Exploits Multiple Zero-Day Vulnerabilities
脆弱性が報告されているプラグインは4つです。
- Flexible Checkout Fields for WooCommerce バージョン2.3.1以前
- Async JavaScript バージョン2.19.07.14以前
- 10Web Map Builder for Google Maps バージョン 1.0.63以前
- Modern Events Calendar Lite バージョン 5.1.6以前
プラグインの設定の更新に際して、いくつかの値のセキュリティチェックを行わないことが原因で、管理者に対するXSS攻撃を通じて管理用ダッシュボードに任意のコードを挿入して実行させることが可能です。
4つのプラグインすべてに修正パッチが公開されています。利用している場合は、早急なアップデートが必要です。
この記事の執筆・監修者
岡山 大
三和コムテック株式会社
セキュリティソリューションプロダクトマネージャー OEMメーカーの海外営業として１０年間勤務の後、2001年三和コムテックに入社。
新規事業（WEBセキュリティ ビジネス）のきっかけとなる、自動脆弱性診断サービスを立ち上げ（2004年）から一環して、営業・企画面にて参画。 2009年に他の３社と中心になり、たち上げたJCDSC（日本カードセキュリティ協議会 / 会員企業422社）にて運営委員（現在,運営委員長）として活動。PCIDSSや非保持に関するソリューションやベンダー、また関連の審査やコンサル、などの情報に明るく、要件に応じて、弊社コンサルティングサービスにも参加。2021年4月より、業界誌（月刊消費者信用）にてコラム「セキュリティ考現学」を寄稿中。
セキュリティソリューションプロダクトマネージャー OEMメーカーの海外営業として１０年間勤務の後、2001年三和コムテックに入社。
新規事業（WEBセキュリティ ビジネス）のきっかけとなる、自動脆弱性診断サービスを立ち上げ（2004年）から一環して、営業・企画面にて参画。 2009年に他の３社と中心になり、たち上げたJCDSC（日本カードセキュリティ協議会 / 会員企業422社）にて運営委員（現在,運営委員長）として活動。PCIDSSや非保持に関するソリューションやベンダー、また関連の審査やコンサル、などの情報に明るく、要件に応じて、弊社コンサルティングサービスにも参加。2021年4月より、業界誌（月刊消費者信用）にてコラム「セキュリティ考現学」を寄稿中。
- トピックス：
- セキュリティ
- 関連トピックス：
- Web攻撃
