skip to content
WordPress脆弱性速報
Table of Contents

本日のまとめ

本日は合計12件のWordPressプラグインにおける緊急または重要な脆弱性情報をお届けします。特に「Happy Coders OTP Login for WooCommerce」や「SAML Single Sign On」など、複数のプラグインで認証を回避して管理者アカウントを乗っ取られる危険があります。ご自身のサイトに影響があるか確認し、すぐに「今すぐやること」に書かれた対応をお願いします。

Happy Coders OTP Login for WooCommerce: 認証なしでアカウント乗っ取りの危険

  • 対象: Happy Coders OTP Login for WooCommerce
  • 影響バージョン: 1.5 〜 < 2.8
  • 深刻度: 9.8 / 10 (緊急)

どんな危険があるか

このプラグインでは、本来必要なワンタイムパスワード（OTP）の認証が適切に行われていませんでした。このため、悪意のある第三者がワンタイムパスワードなしに、既存のどのユーザー（管理者を含む）のアカウントにもログインしたり、新しいアカウントを勝手に作成したりする可能性があります。

今すぐやること

Happy Coders OTP Login for WooCommerce プラグインをバージョン 2.8 以降にすぐに更新してください。自動更新が有効になっていない場合は、手動で更新処理を行ってください。

出典

SAML Single Sign On – SSO Login: 認証を迂回してサイトを乗っ取られる危険

  • 対象: SAML Single Sign On – SSO Login
  • 影響バージョン: 0 〜 <= 5.4.3
  • 深刻度: 9.8 / 10 (緊急)

どんな危険があるか

このプラグインには、SAML認証の署名検証に不備があり、認証を不正に回避できる脆弱性があります。悪意のある第三者は、特定の操作を行うことで、管理者を含むあらゆるWordPressアカウントになりすましてログインし、サイトを完全に制御する可能性があります。

今すぐやること

SAML Single Sign On – SSO Login プラグインをバージョン 5.4.3 より新しいバージョンにすぐに更新してください。修正版のリリース状況は公式情報を確認してください。

出典

Redux Framework: 一般ユーザーが管理者権限に昇格する危険

  • 対象: Redux Framework
  • 影響バージョン: 0 〜 < 4.5.13
  • 深刻度: 8.8 / 10 (重要)

どんな危険があるか

Redux Frameworkプラグインのユーザープロファイル機能が有効になっている場合、購読者（Subscriber）以上の権限を持つ悪意のあるユーザーが、自分のプロフィールを更新する際に細工した値を送信することで、管理者権限に昇格できてしまう危険性があります。

今すぐやること

Redux Framework プラグインをバージョン 4.5.13 以降にすぐに更新してください。この機能を利用していない場合でも、念のため更新をお勧めします。

出典

WPFunnels – Funnel Builder for WooCommerce: 権限のあるユーザーが管理者権限に昇格する危険

  • 対象: WPFunnels – Funnel Builder for WooCommerce with Checkout & One Click Upsell
  • 影響バージョン: 0 〜 <= 3.12.8
  • 深刻度: 8.8 / 10 (重要)

どんな危険があるか

このプラグインでは、権限のあるユーザー（最低でもFunnel Managerの役割を持つユーザー）が悪用すると、WordPressのユーザー役割設定を不正に更新し、自身の権限を管理者レベルに昇格させることができてしまいます。これにより、サイトの完全な制御を奪われる危険性があります。

今すぐやること

WPFunnels – Funnel Builder for WooCommerce with Checkout & One Click Upsell プラグインをバージョン 3.12.8 より新しいバージョンにすぐに更新してください。修正版のリリース状況は公式情報を確認してください。

出典

Digits: WordPress Mobile Number Signup and Login: 一般ユーザーが管理者権限に昇格する危険

  • 対象: Digits: WordPress Mobile Number Signup and Login
  • 影響バージョン: 0 〜 <= 9.1.0.5
  • 深刻度: 8.8 / 10 (重要)

どんな危険があるか

このプラグインには、認証された購読者（Subscriber）以上の権限を持つユーザーが、プロフィール更新時に細工した値を送信することで、管理者権限に昇格できる脆弱性があります。管理者側で「DIGITS User Role field」が設定されている場合に影響を受けます。

今すぐやること

Digits: WordPress Mobile Number Signup and Login プラグインをバージョン 9.1.0.5 より新しいバージョンにすぐに更新してください。公式の変更履歴を確認し、修正版がリリースされていることを確認してください。

出典

Loco Translate: 管理者が罠にかかると不正なコードを実行される危険

  • 対象: Loco Translate
  • 影響バージョン: 0 〜 <= 2.8.5
  • 深刻度: 8.8 / 10 (重要)

どんな危険があるか

この翻訳プラグインには、クロスサイトリクエストフォージェリ（CSRF）の脆弱性があります。悪意のある第三者が、サイトの管理者をだまして悪質なリンクをクリックさせると、サーバー上で任意のPHPコードを実行され、サイトが乗っ取られる危険性があります。

今すぐやること

Loco Translate プラグインをバージョン 2.8.5 より新しいバージョンにすぐに更新してください。不審なリンクは絶対にクリックしないよう、管理者アカウントでサイトを操作する際は特に注意してください。

出典

Abandoned Cart Lite for WooCommerce: 認証なしでアカウント乗っ取りの危険

  • 対象: Abandoned Cart Lite for WooCommerce
  • 影響バージョン: 0 〜 < 6.8.2
  • 深刻度: 8.1 / 10 (重要)

どんな危険があるか

このプラグインのカートリカバリートークンに不備があり、自動ログインオプションが有効な場合、悪意のある第三者が不正なリカバリーリンクを生成して、他のユーザーになりすましてログインできてしまいます。これにより、顧客情報への不正アクセスやアカウント乗っ取りの危険性があります。

今すぐやること

Abandoned Cart Lite for WooCommerce プラグインをバージョン 6.8.2 以降にすぐに更新してください。一時的な対策として、自動ログイン機能が利用されている場合は、この機能を無効にすることも検討してください。

出典

Uncanny Automator: 認証なしでサイト上のファイルを削除される危険

  • 対象: Uncanny Automator – Easy Automation, Integration, Webhooks & Workflow Builder Plugin
  • 影響バージョン: 0 〜 <= 7.3.1.4
  • 深刻度: 8.1 / 10 (重要)

どんな危険があるか

このプラグインには、認証されていない第三者がサイト上の任意のファイルを削除できる脆弱性があります。これにより、例えばwp-config.phpのような重要な設定ファイルを削除されることで、サイトが動作しなくなったり、遠隔で不正なコードを実行されたりする危険性があります。この脆弱性は、ForminatorフォームがUncanny Automatorの「Everyone」向けレシピに接続されている場合に悪用されます。

今すぐやること

Uncanny Automator – Easy Automation, Integration, Webhooks & Workflow Builder Plugin をバージョン 7.3.1.4 より新しいバージョンにすぐに更新してください。

出典

Advance Product Search- Voice & Ajax Search for WooCommerce: 認証なしでデータベースの情報が漏洩する危険

  • 対象: Advance Product Search- Voice & Ajax Search for WooCommerce
  • 影響バージョン: 0 〜 <= 1.4.4
  • 深刻度: 7.5 / 10 (重要)

どんな危険があるか

このプラグインにはSQLインジェクションの脆弱性があり、認証されていない悪意のある第三者が、細工したリクエストを送信することで、サイトのデータベースに不正なクエリを追加できます。これにより、データベースに保存されているユーザー情報や設定情報などの機密データが漏洩する危険性があります。

今すぐやること

Advance Product Search- Voice & Ajax Search for WooCommerce プラグインをバージョン 1.4.4 より新しいバージョンにすぐに更新してください。

出典

Breakdance: 認証なしで悪意のあるスクリプトが埋め込まれる危険

  • 対象: Breakdance
  • 影響バージョン: 0 〜 <= 2.7.1
  • 深刻度: 7.2 / 10 (重要)

どんな危険があるか

このプラグインには、保存型クロスサイトスクリプティング（XSS）の脆弱性があり、認証されていない悪意のある第三者が、特定のパラメータを介してウェブサイトのページに不正なスクリプトを埋め込むことができます。訪問者がそのページにアクセスすると、埋め込まれたスクリプトが実行され、セッション情報が盗まれたり、不正なコンテンツが表示されたりする危険性があります。

今すぐやること

Breakdance プラグインをバージョン 2.7.1 より新しいバージョンにすぐに更新してください。公式情報を確認するとバージョン 2.7.2 で修正されているとのことです。

出典

RPB Chessboard: コメント経由で悪意のあるスクリプトが埋め込まれる危険

  • 対象: RPB Chessboard
  • 影響バージョン: 0 〜 <= 8.1.2
  • 深刻度: 7.2 / 10 (重要)

どんな危険があるか

このプラグインには、コメント機能に保存型クロスサイトスクリプティング（XSS）の脆弱性があります。認証されていない悪意のある第三者が、コメント内容に不正なスクリプトを仕込むことで、そのコメントが表示されるページにアクセスしたユーザーのブラウザ上でスクリプトを実行させる可能性があります。

今すぐやること

RPB Chessboard プラグインをバージョン 8.1.2 より新しいバージョンにすぐに更新してください。

出典

FunnelKit: Diviビルダーを使っているとXSS攻撃を受ける危険

  • 対象: FunnelKit
  • 影響バージョン: 0 〜 < 3.15.0.6
  • 深刻度: 7.1 / 10 (重要)

どんな危険があるか

このプラグインには、反射型クロスサイトスクリプティング（XSS）の脆弱性があります。Diviビルダーが有効な環境で、悪意のある第三者が細工したページにログイン中のユーザーを誘導すると、不正なスクリプトが実行される可能性があります。

今すぐやること

FunnelKit プラグインをバージョン 3.15.0.6 以降にすぐに更新してください。特にDiviビルダーを利用しているサイトは、迅速な対応が求められます。

出典

日頃の備え

WordPressサイトのセキュリティを維持するためには、日頃からの対策が非常に重要です。以下の点を定期的に見直しましょう。

  • プラグインとテーマの自動更新: 可能であれば、セキュリティ修正が含まれる更新はすぐに適用されるように自動更新を設定しましょう。
  • 定期的なバックアップ: 万が一の事態に備え、サイトデータとデータベースのバックアップを定期的に取得し、安全な場所に保管しましょう。
  • 不要なプラグインやテーマの削除: 使用していないプラグインやテーマは、脆弱性の原因となる可能性があるため、サイトから削除しましょう。
  • セキュリティプラグインの導入: 信頼できるセキュリティプラグインを導入し、不正なアクセスや改ざんがないか監視しましょう。
  • 強固なパスワードの使用: 管理者アカウントや他のユーザーアカウントには、推測されにくい複雑なパスワードを設定しましょう。

出典