Pocket

WordPress 2015年4月_脆弱性集計  2015/5/14

2015年4月度のWordPressに関する脆弱性レポートをお知らせします。

4月度全体の脆弱性報告件数としては153件でした。3月度より70件増加しております。

個所別レポート

個所別の発生件数は、それぞれ本体で4件、テーマも4件、プラグインが145件でした。

内容としては圧倒的にプラグインが多く、脆弱性に気を配る必要があることがわかります。

また、今月は先月と違い、本体に複数の脆弱性が発生しました。プラグインの数も先月と比べてかなり増加しております。テーマに関しましても先月と同様に脆弱性情報が複数発生しました。

トピックス

本体に4件脆弱性が発生しました。時期としては2度あり、1度目の発生時には、XSS含む3件発生し、対策版であるバージョン4.1.2がリリースされました。

ところが、そのあとすぐに、さらに追加で1件の脆弱性情報が報告され、対策版であるバージョン4.2.1がリリースされております。
(※2015年5月14日時点での最新バージョンは4.2.2となっております)

テーマに関しましても4件の脆弱性が発見されております。脆弱性内容はXSS、RCEなどです。

プラグインに関しましては、ブログでも速報を書かせて頂きました通り、100万ダウンロード以上されている超有名なWordPressの高速化プラグイン『WP Super Cache』にクロスサイトスクリプティング(XSS)の脆弱性が発生しております。お使いの方は、バージョンの確認をすることを推奨します。

脆弱性はすでにアップデートによって修正済みで、最新版の適用で塞ぐことができます。
(※2015年5月14日時点での最新バージョンは1.4.4となっております)

また、4月下旬にWordPressの関数を不適切に利用していることに起因する脆弱性が、一気に多数のプラグインに発見されました。

内容としては

  • 「add_query_arg()」
  • 「remove_query_arg()」

の2つの関数について、公式ドキュメントが十分な説明を指定なかったために発生したとのことです。
(発見されたプラグインなどの詳細情報はこちらをご参照ください)

その他ご利用中の方が多い以下の人気プラグインにおいて脆弱性が発見されたため旧バージョンをご利用中の方は最新のプラグインにアップデートされることをお勧めいたします。

  • All In One WP Security & Firewall PluginにてSQLインジェクション 4件
  • Duplicator PluginにてSQLインジェクション 1件
  • WP Statistics PluginにてXSS 1 件
  • WP User Avatar PluginにてXSS 1件

内容別レポート

脆弱性の内容別発生件数は、1位がXSSで81件、2位がSQLインジェクションで25件、3位がCSRFで14件でした。

トピックス

3月度と比較して、脆弱性の総数が大幅に増加したことに合わせてXSS、SQLインジェクションとCSRFが軒並み増加しました。特にXSSは約4倍になっております。

この一要因として先ほども書かせていただきました通り、4月下旬に発生したWordPressの関数を不適切に利用していることに起因する脆弱性が、一気に多数のプラグインに発見されたことが影響しております。

発見された脆弱性のほぼすべてがXSSでした。

脆弱性一覧

2015年4月の脆弱性一覧をまとめましたのでご参照ください。

以下リストに掲載されている本体バージョン、テーマ、プラグインがある方は、一度診断されることをお勧めいたします。脆弱性分類ですが、掲載時点の内容の為、ご確認いただく時点で「不特定の欠陥」が特定されている可能性もございますので、それも注意深くご確認いただくことをお勧めします。

また、バージョンに関しましては、脆弱性情報が発見されたものを記載しておりますが、そのバージョン未満でも同様の脆弱性が発生している可能性がある為、最新版に更新することをお勧めしております。但し、最新版でも脆弱性内容が修正されていないプラグインも少なからず存在しておりますので、対策されていないプラグインをご利用の方は、ご利用を控えるか、別の同様のプラグインに変更されることをお勧めします。

 

表:2015年4月度脆弱性一覧

発見個所 脆弱性分類 脆弱性のある本体・プラグイン・テーマの名称 発見されたVer. 発見日
プラグイン CSRF Favicon by RealFaviconGenerator Plugin 2015/4/1
プラグイン SQLインジェクション Business Intelligence Lite Plugin 2015/4/1
プラグイン CSRF WP Easy Slideshow Plugin 2015/4/2
プラグイン CSRF WP Easy Slideshow Plugin 2015/4/2
テーマ RCE UpThemes Multiple Themes 2015/4/2
プラグイン SQLインジェクション Events Manager Plugin 2015/4/2
プラグイン RCE Better WP Security Plugin 2015/4/2
プラグイン SQLインジェクション Simple Ads Manager Plugin 2015/4/2
プラグイン RCE Simple Ads Manager Plugin 2015/4/2
プラグイン SQLインジェクション Simple Ads Manager Plugin 2015/4/2
プラグイン XSS WP Super Cache Plugin 2015/4/3
プラグイン リモートファイルアップロード Work The Flow File Upload Plugin 2015/4/4
プラグイン XSS QRCodes Plugin 1.3.3 2015/4/4
テーマ リモート権限昇格 QAEngine Theme 2015/4/6
プラグイン リモートファイルアップロード PHP Event Calendar Plugin 2015/4/6
プラグイン SQLインジェクション All In One WP Security & Firewall Plugin 2015/4/6
プラグイン SQLインジェクション All In One WP Security & Firewall Plugin 2015/4/6
プラグイン SQLインジェクション All In One WP Security & Firewall Plugin 2015/4/6
プラグイン SQLインジェクション All In One WP Security & Firewall Plugin 2015/4/6
プラグイン CSRF Floating Social Bar Plugin 1.1.6 2015/4/7
プラグイン SQLインジェクション WP Fastest Cache Plugin 2015/4/7
プラグイン 不正な設定操作 Floating Social Bar Plugin 1.1.6 2015/4/7
プラグイン XSS TheCartPress Plugin 2015/4/8
プラグイン XSS TheCartPress Plugin 2015/4/8
プラグイン XSS TheCartPress Plugin 2015/4/8
プラグイン XSS TheCartPress Plugin 2015/4/8
プラグイン 顧客情報漏洩 TheCartPress Plugin 2015/4/8
プラグイン パストラバーサル TheCartPress Plugin 2015/4/8
プラグイン XSS TheCartPress Plugin 2015/4/8
プラグイン SQLインジェクション Traffic Analyzer Plugin 2015/4/8
プラグイン 未公開の投稿に対する不正アクセス JSON REST API Plugin 1.2 2015/4/9
プラグイン SQLインジェクション Duplicator Plugin 2015/4/9
プラグイン 不特定の欠陥 Zedity Plugin 5.0.2 2015/4/9
プラグイン CSRF BuddyPress Plugin 2015/4/10
プラグイン 不特定の入力検証の問題 BuddyPress Plugin 2015/4/10
プラグイン RCE Windows Desktop and iPhone Photo Uploader Plugin 2015/4/10
プラグイン パストラバーサル Fusion Engage Plugin 2015/4/10
プラグイン CSRF Broken Link Checker Plugin 2015/4/11
プラグイン XSS Broken Link Checker Plugin 2015/4/11
プラグイン XSS Add Link to Facebook Plugin 2015/4/11
プラグイン Direct Request Remote Bypass Collapsing Categories List Plugin 2015/4/12
プラグイン SQLインジェクション Community Events Plugin 1.3.5 2015/4/12
プラグイン SQLインジェクション Community Events Plugin 1.3.5 2015/4/12
プラグイン SQLインジェクション Tune Library Plugin 2015/4/12
プラグイン SQLインジェクション Community Events Plugin 1.3.5 2015/4/12
プラグイン パストラバーサル Mobile Edition Plugin 2.2.7 2015/4/13
プラグイン RCE N-Media Website Contact Form with File Upload Plugin 2015/4/13
プラグイン XSS My Wish List Plugin 1.4.1 2015/4/13
プラグイン XSS Simple Secure Contact Form Plugin 0.2 2015/4/13
プラグイン XSS My Wish List Plugin 1.4.1 2015/4/13
プラグイン SQLインジェクション Contus Video Gallery Plugin 2015/4/14
プラグイン CSRF JW Player Plugin 2015/4/14
プラグイン CSRF JW Player Plugin 2015/4/14
プラグイン パストラバーサル Crayon Syntax Highlighter Plugin 2015/4/14
プラグイン XSS iThemes Security Plugin 2015/4/14
プラグイン SQLインジェクション WP Symposium Plugin 2015/4/14
プラグイン CSRF MiwoFTP Plugin 2015/4/14
プラグイン XSS MiwoFTP Plugin 2015/4/14
プラグイン リモートでのファイル削除 MiwoFTP Plugin 2015/4/14
プラグイン パラメータパス漏洩 eShop plugin 2015/4/15
プラグイン XSS eShop plugin 2015/4/15
プラグイン CSRF Contus Video Gallery Plugin 2015/4/15
プラグイン XSS WP Statistics Plugin 2015/4/15
プラグイン XSS FooBox Image Lightbox Plugin 2015/4/16
プラグイン XSS Citizen Space Plugin 2015/4/16
プラグイン XSS Content Slide Plugin 2015/4/16
プラグイン SQLインジェクション Ajax Store Locator Plugin 2015/4/16
プラグイン パストラバーサル WP-Mon Plugin 2015/4/17
プラグイン SQLインジェクション Users Ultra Plugin 1.4.95 2015/4/17
プラグイン バイパスのチェックの機能不備 Mashshare Plugin 2.3.2 2015/4/17
プラグイン XSS Broken Link Checker Plugin 2015/4/20
プラグイン CSRF Ultimate Profile Builder Plugin 2015/4/20
プラグイン XSS Link Library Plugin 2015/4/20
プラグイン XSS Link Library Plugin 2015/4/20
プラグイン XSS Link Library Plugin 2015/4/20
プラグイン XSS Bilingual Linker Plugin 2.1.1 2015/4/20
プラグイン XSS Link Library Plugin 2015/4/20
プラグイン XSS WDS Multisite Aggregate Plugin 1.0.0 2015/4/20
プラグイン XSS Taxonomy Switcher Plugin 1.0.1 2015/4/20
プラグイン XSS Two Factor Authentication Plugin 1.1.9 2015/4/20
プラグイン XSS Two Factor Authentication Plugin 1.1.9 2015/4/20
プラグイン XSS Two Factor Authentication Plugin 1.1.9 2015/4/20
プラグイン XSS Date-based Taxonomy Archives Plugin 0.3 2015/4/20
プラグイン XSS View All Post’s Pages Plugin 0.9 2015/4/20
プラグイン XSS Aesop Story Engine Plugin 1.6 2015/4/20
プラグイン CSS上書きの問題 Crayon Syntax Highlighter Plugin 2015/4/20
プラグイン XSS Google Analytics by Yoast Plugin 2015/4/20
プラグイン XSS Ninja Forms Plugin 2015/4/20
プラグイン XSS Multiple iThemes Plugins and Themes 2015/4/20
プラグイン XSS Give Plugin 2015/4/20
プラグイン XSS P3 Profiler Plugin 1.5.3.8 2015/4/20
プラグイン XSS My Calendar Plugin 2015/4/20
プラグイン XSS Barry Kooij Multiple Plugins 2015/4/20
プラグイン XSS WPTouch Plugin 3.7.5 2015/4/20
プラグイン XSS WP-E-Commerce Plugin 3.9.2 2015/4/20
プラグイン XSS UpdraftPlus Plugin 2015/4/20
プラグイン XSS Easy Digital Downloads Multiple Plugins 2015/4/20
プラグイン XSS Gravity Forms Plugin 2015/4/20
プラグイン XSS All In one SEO Pack Plugin 2.2.6.1 2015/4/20
プラグイン XSS Google Analytics by Yoast Plugin 5.3.3 2015/4/20
プラグイン XSS WordPress SEO Plugin 2015/4/20
プラグイン XSS Jetpack Plugin 2015/4/20
プラグイン SQLインジェクション rtMedia Plugin 2015/4/21
プラグイン XSS rtMedia Plugin 2015/4/21
プラグイン SQLインジェクション rtMedia Plugin 2015/4/21
プラグイン XSS WP Print Friendly Plugin 0.6 2015/4/21
プラグイン XSS church_admin Plugin 2015/4/21
プラグイン XSS WP-Spreadplugin Plugin 2015/4/21
プラグイン XSS PressBooks Textbook Plugin 1.2.5 2015/4/21
プラグイン XSS CampTix Network Tools Plugin 0.1 2015/4/21
プラグイン XSS CMS Tree Page View Plugin 2015/4/21
プラグイン リモートファイルアップロード MiwoFTP Plugin 2015/4/21
プラグイン SQLインジェクション NEX-Forms Plugin 2015/4/21
本体 XSS WordPress 4.1.1 2015/4/21
本体 ファイルアップロード WordPress 4.1.1 2015/4/21
本体 XSS WordPress 4.1.1 2015/4/21
プラグイン リストの漏洩 MailChimp Subscribe Form Plugin 2015/4/21
プラグイン RCE MailChimp Subscribe Form Plugin 2015/4/21
プラグイン XSS MailChimp Subscribe Form Plugin 2015/4/21
プラグイン SQLインジェクション Ultimate Product Catalogue Plugin 2015/4/22
プラグイン SQLインジェクション Ultimate Product Catalogue Plugin 2015/4/22
プラグイン CSRF White Label CMS Plugin 2015/4/22
プラグイン XSS WooFramework Branding Plugin 1.0.1 2015/4/22
プラグイン XSS WooFramework Tweaks Plugin 1.0.1 2015/4/22
プラグイン XSS Subscribe & Connect Plugin 1.0.1 2015/4/22
プラグイン XSS Icons for Features Plugin 1.0.0 2015/4/22
プラグイン XSS WooSidebars Sidebar Manager Converter Plugin 1.1.1 2015/4/22
プラグイン XSS WooSidebars Plugin 1.4.1 2015/4/22
プラグイン SQLインジェクション Ultimate Product Catalogue Plugin 2015/4/22
プラグイン RCE Ultimate Product Catalogue Plugin 2015/4/22
プラグイン 不特定の欠陥 WP Buddy Comment Rating Plugin 2015/4/23
プラグイン リモートでの情報漏洩 Slideshow Plugin 2015/4/23
テーマ XSS WooFramework Theme 2015/4/23
プラグイン リモートファイルアップロード Ultimate Product Catalogue Plugin 2015/4/24
プラグイン CSRF Ultimate Product Catalogue Plugin 2015/4/24
プラグイン XSS Ultimate Product Catalogue Plugin 2015/4/24
プラグイン XSS WP User Avatar Plugin 2015/4/24
プラグイン XSS WP Google Map Plugin 2015/4/24
プラグイン RCE Premium SEO Pack Plugin 2015/4/24
プラグイン XSS Collapse-O-Matic Plugin 1.6.8 2015/4/25
プラグイン XSS CoursePress Plugin 1.2.5.2 2015/4/25
プラグイン XSS Theater Plugin 2015/4/25
プラグイン XSS Disclaimer and Notification Manager for Authors Plugin 1.0 2015/4/25
プラグイン CSRF WPS Hide Login Plugin 1.0 2015/4/26
プラグイン XSS FeedWordPress Plugin 2015/4/26
プラグイン RCE WooCommerce Amazon Affiliates Plugin 2015/4/27
本体 XSS WordPress 4.2, 4.1.2, 3.9.3 2015/4/27
プラグイン XSS Broken Link Checker Plugin 2015/4/28
テーマ XSS Exquisite – Ultimate Newspaper Theme 2015/4/28
プラグイン XSS Ultimate Product Catalogue Plugin 2015/4/29
プラグイン XSS WP Photo Album Plus Plugin 2015/4/29
プラグイン XSS Nonprofit Board Management Plugin 1.1.2 2015/4/29
プラグイン XSS Improved Save Button Plugin 1.0 2015/4/30

 

https://wp.kyubi.jp/