skip to content
WordPress脆弱性速報
Table of Contents

本日のまとめ

本日は、WordPress プラグイン「Tutor LMS」「Tickera」「Flow Payment」の合計 3 件の脆弱性情報をお届けします。Tutor LMS と Tickera では、データベース内の機密情報が盗み出される危険性があり、Flow Payment では、サイト訪問者が悪意のあるスクリプトを実行させられてしまう危険性があります。ご自身のサイトで対象プラグインを使用している場合は、内容を確認し、すぐに対応してください。

Tutor LMS: データベースから情報が盗まれる危険

  • 対象: Tutor LMS – eLearning and online course solution
  • 影響バージョン: 0 〜 4.0.0
  • 深刻度: 6.5 / 10 (中程度)

どんな危険があるか

この脆弱性は、SQLインジェクションと呼ばれます。悪用されると、サイトにログインできるユーザー（購読者権限以上など）が、WordPress のデータベースからユーザー情報や設定など、本来見られないはずの機密情報を盗み出す可能性があります。この脆弱性は、情報がデータベースに保存された後に悪用される「二次注入」と呼ばれる手法で、特定の条件が揃った際に実行されます。

今すぐやること

公式情報を確認し、修正版が提供されていればすぐにアップデートしてください。提供元のWordfenceの情報では、バージョン 4.0.1 以降で修正されている可能性が示唆されていますが、必ずTutor LMSの公式リリースノートで確認し、最新の修正済みバージョンに更新してください。

出典

Tickera: データベース情報が盗まれる危険性

  • 対象: Tickera – Sell Tickets & Manage Events
  • 影響バージョン: 0 〜 3.6.0.0
  • 深刻度: 6.5 / 10 (中程度)

どんな危険があるか

この脆弱性もSQLインジェクションと呼ばれ、サイトにログインできるユーザー（スタッフ権限以上など）が悪用すると、WordPress のデータベースからユーザーのパスワードや個人情報といった機密情報が盗み出される可能性があります。攻撃者は、データベース内の情報を不正に読み取ることができます。

今すぐやること

公式情報を確認し、修正版が提供されていればすぐにアップデートしてください。提供元のWordfenceの情報では、バージョン 3.6.1 以降で修正されている可能性が示唆されていますが、必ずTickeraの公式リリースノートで確認し、最新の修正済みバージョンに更新してください。

出典

Flow Payment: サイト訪問者が悪意のあるスクリプトを実行させられる危険

  • 対象: Flow Payment
  • 影響バージョン: 0 〜 3.0.8
  • 深刻度: 5.1 / 10 (中程度)

どんな危険があるか

これは「反射型クロスサイトスクリプティング (XSS)」と呼ばれる脆弱性です。攻撃者が作成した特別なURLを、あなたのサイトの訪問者がクリックすると、その訪問者のブラウザ上で、攻撃者が意図しない悪意のあるプログラムが実行されてしまう可能性があります。これにより、訪問者のセッション情報が盗まれたり、偽の情報が表示されたりする危険があります。ログインしていないユーザーでも悪用される可能性があります。

今すぐやること

Flow Payment プラグインをバージョン 3.0.9 以降にアップデートしてください。このバージョンで脆弱性が修正されています。

出典

日頃の備え

WordPress サイトを安全に保つためには、日頃からの対策が非常に重要です。以下の点を定期的に確認し、実践しましょう。

  • プラグインとテーマの自動更新: 常に最新の状態に保つことで、既知の脆弱性への対策ができます。
  • 定期的なバックアップ: 万が一の事態に備え、サイト全体のバックアップを定期的に取得しておきましょう。
  • 不要なプラグイン・テーマの削除: 使っていないものは削除し、攻撃対象を減らしましょう。
  • 強固なパスワードの使用: 複雑で推測されにくいパスワードを設定し、定期的に変更しましょう。

出典