WordPress　2015年6月_脆弱性集計　　2015/7/10
2015年6月度のWordPressに関する脆弱性レポートをお知らせします。

6月度全体の脆弱性報告件数としては52件でした。5月度より17件減少しております。
個所別レポート
個所別の発生件数は、それぞれ本体で1件、テーマも6件、プラグインが45件でした。

内容としては圧倒的にプラグインが多く、脆弱性に気を配る必要があることがわかります。

また、今月も先月と同様に本体に脆弱性が発生しました。プラグインの数は先月と比べて減少しております。
テーマに関しましても先月と同様に脆弱性情報が複数発生しました。

トピックス
本体に1件脆弱性が発生しました。バージョン4.1と4.1.1にファイルアップロードに関する脆弱性が発生し、対策版に関しましては4.1.2になるのですが、すでにそのバージョンにて別の脆弱性が発生しておりますので最新バージョンである4.2.2（2015年7月10日現在）へのアップデートを推奨します。

 

テーマに関しましても6件の脆弱性が発見されております。脆弱性の内容はXSSやRCEです。脆弱性対策版が出ていないテーマもございますのでご利用の方は是非ご確認下さい。

 

プラグインに関しましては、ブログでも速報を書かせて頂きました通り、総累計数1900万ダウンロード以上されている超有名なWordPressのSEOプラグインである『WordPress SEO by Yoast』にクロスサイトスクリプティング（XSS）の脆弱性が発生しております。お使いの方は、バージョンの確認をすることを推奨します。

脆弱性はすでにアップデートによって修正済みで、最新版の適用で塞ぐことができます。
（※2015年7月10日時点での最新バージョンは2.2.1となっております）

他には、こちらもブログでも速報を書かせて頂きました通り、総累計数370万ダウンロード以上されているリンク切れを起こしていないかチェックしてくれる便利なプラグイン『Broken Link Checker』にクロスサイトスクリプティング（XSS）の脆弱性が発生しております。お使いの方は、バージョンの確認をすることを推奨します。

脆弱性はすでにアップデートによって修正済みで、最新版の適用で塞ぐことができます。
（※2015年7月10日時点での最新バージョンは1.10.9となっております）

その他ご利用中の方が多い以下の人気プラグインにおいて脆弱性が発見されたため旧バージョンをご利用中の方は最新のプラグインにアップデートされることをお勧めいたします。

Nextend Facebook Connect PluginにてXSS
XCloner – Backup and Restore PluginにてXSSとCE　2件
WP-CopyProtect PluginにてCSRFとXSS　2件

内容別レポート
脆弱性の内容別発生件数は、1位がXSSで22件、2位がLFIで9件、3位がCSRFで7件でした。

トピックス
5月度と比較して、脆弱性の総数が減少したことに合わせてXSS、SQLインジェクションとCSRFが減少しました。その中でもSQLインジェクションは大きく減少しております。

ただ一方でLFIに関する脆弱性情報は増加しました。
脆弱性一覧
2015年6月の脆弱性一覧をまとめましたのでご参照ください。

以下リストに掲載されている本体バージョン、テーマ、プラグインがある方は、一度診断されることをお勧めいたします。脆弱性分類ですが、掲載時点の内容の為、ご確認いただく時点で「不特定の欠陥」が特定されている可能性もございますので、それも注意深くご確認いただくことをお勧めします。

また、バージョンに関しましては、脆弱性情報が発見されたものを記載しておりますが、そのバージョン未満でも同様の脆弱性が発生している可能性がある為、最新版に更新することをお勧めしております。但し、最新版でも脆弱性内容が修正されていないプラグインも少なからず存在しておりますので、対策されていないプラグインをご利用の方は、ご利用を控えるか、別の同様のプラグインに変更されることをお勧めします。

表：2015年6月度脆弱性一覧

発見個所
脆弱性分類
脆弱性のある本体・プラグイン・テーマの名称
発見されたVer.
発見日

プラグイン
UPLOAD
dzs-zoomsounds
2.0
2015/6/1

プラグイン
SQLインジェクション
LeagueManager
3.9.11
2015/6/2

プラグイン
XSS
Simple Share Buttons Adder
6.0.0
2015/6/2

プラグイン
XSS
WordPress Backup to Dropbox
4.0
2015/6/2

プラグイン
XSS
XCloner – Backup and Restore
3.1.2
2015/6/2

プラグイン
RCE
XCloner – Backup and Restore
3.1.2
2015/6/2

プラグイン
LFI
N-Media Website Contact Form with File Upload
1.5
2015/6/3

プラグイン
LFI
zM Ajax Login and Register
1.0.9
2015/6/4

プラグイン
XSS
zM Ajax Login and Register
1.0.9
2015/6/4

プラグイン
SQLインジェクション
Users Ultra
1.5.15
2015/6/7

プラグイン
XSS
Greg’s High Performance SEO
1.6.1
2015/6/8

プラグイン
LFI
SE HTML5 Album Audio Player
1.1.0
2015/6/8

プラグイン
XSS
Page Builder by SiteOrigin
2.0.3
2015/6/8

プラグイン
LFI
Really Simple Guest Post Plugin
1.0.6
2015/6/9

プラグイン
LFI
WP Mobile Edition
2.2.7
2015/6/9

プラグイン
XSS
addthis
4.0.6-5.0.2
2015/6/10

プラグイン
LFI
History Collection
1.1.1
2015/6/10

プラグイン
XXE
WooCommerce
2.0.20-2.3.10
2015/6/10

プラグイン
UPLOAD
N-Media File Uploader
3.7
2015/6/11

プラグイン
BYPASS
Paypal Currencucy Converter Basic For Woocommerce
1.3
2015/6/11

プラグイン
LFI
RobotCPA

2015/6/11

本体
UPLOAD
WordPress
4.1 – 4.1.1
2015/6/11

プラグイン
XSS
WordPress SEO by Yoast
2.1.1
2015/6/12

プラグイン
CSRF
Users to CSV
1.4.5
2015/6/15

プラグイン
BYPASS
Zip Attachments
1.1.4
2015/6/15

テーマ
XSS
Salient Theme
4.9
2015/6/16

プラグイン
XSS
WP-Stats
2.51
2015/6/17

プラグイン
CSRF
WP-Stats
2.51
2015/6/17

プラグイン
XSS
Erident Custom Login and Dashboard
3.4-3.4.1
2015/6/18

プラグイン
XSS
Ultimate Member
1.2.98-1.2.994
2015/6/18

テーマ
XSS
Salem Theme
1.5.5
2015/6/18

プラグイン
CSRF
WP Smiley
1.4.1
2015/6/19

プラグイン
XSS
WP Smiley
1.4.1
2015/6/19

プラグイン
CSRF
Google Analyticator
6.4.9.3
2015/6/21

プラグイン
XSS
Nextend Facebook Connect
1.5.4
2015/6/24

プラグイン
XSS
Nextend Twitter Connect
1.5.1
2015/6/24

プラグイン
LFI
wp-instance-rename
1.0
2015/6/24

プラグイン
CSRF
Erident Custom Login and Dashboard
3.4.1
2015/6/25

プラグイン
XSS
WordPress Landing Pages
1.8.7
2015/6/25

プラグイン
XSS
WP Mobile Detector
3.2
2015/6/25

テーマ
RCE
Simpolio
1.3.2
2015/6/26

テーマ
RCE
Pont
1.5
2015/6/26

テーマ
RCE
Teardrop
1.8.1
2015/6/26

テーマ
RCE
Vernissage
1.2.8
2015/6/26

プラグイン
LFI
download-zip-attachments
1.0
2015/6/28

プラグイン
XSS
WP Rollback
1.2.2
2015/6/28

プラグイン
CSRF
WP Rollback
1.2.2
2015/6/28

プラグイン
XSS
Broken Link Checker
1.10.8
2015/6/29

プラグイン
UPLOAD
N-Media File Uploader
3.7
2015/6/29

プラグイン
XSS
NewStatPress
1.0.3
2015/6/30

プラグイン
XSS
WP-CopyProtect
3.0.0
2015/6/30

プラグイン
CSRF
WP-CopyProtect
3.0.0
2015/6/30

https://wp.kyubi.jp/