WordPress 2016年9月_脆弱性集計 2016/10/7
2016年9月度のWordPressに関する脆弱性レポートをお知らせします。
9月度全体の脆弱性報告件数としては26件でした。8月度から12件減少しております。
個所別レポート
個所別の発生件数は、それぞれ本体で2件、テーマは1件、プラグインが23件でした。
内容ですが、本体に関しまして今月は2件の脆弱性が発生しております。テーマに関しましては今月は1件脆弱性が発生しました。
また先月に引き続き最多発生はプラグインとなり、脆弱性に気を配る必要があることがわかります。
トピックス
前述のとおり本体に2件の脆弱性が発生しております。先月に引き続き発生いたしました。
内容としましては、ブログにて速報しております通り、バージョン4.6以下に①パストラバーサル②クロスサイトスクリプティング（XSS）の合計2件の脆弱性が発生しております。
対策版に関しましては下表のとおりです。
| 現在ご利用のバージョン | 対策済みバージョン |
| 2.5~3.6.1 | 4.6.1 |
| 3.7~3.7.15 | 3.7.16 |
| 3.8~3.8.15 | 3.8.16 |
| 3.9~3.9.13 | 3.9.14 |
| 4.0~4.0.12 | 4.0.13 |
| 4.1~4.1.12 | 4.1.13 |
| 4.2~4.2.9 | 4.2.10 |
| 4.3~4.3.5 | 4.3.6 |
| 4.4~4.4.4 | 4.4.5 |
| 4.5~4.5.3 | 4.5.4 |
| 4.6 | 4.6.1 |
（※2016年10月7日現在の最新版です。）
テーマに関しましては前述のとおり１件脆弱性が発生しました。3か月連続の発生です。内容はファイルアップロードに関する脆弱性です。
プラグインに関しましては、先月から13件減少し23件の脆弱性が発見されました。そのうち有名プラグインに脆弱性が発見されました。
1つ目は、アクティブインストール100万以上、総ダウンロード数653万以上の人気プラグイン『W3 Total Cache』にクロスサイトスクリプティング（XSS）やクロスサイトリクエストフォージェリ（CSRF）など合計5件の脆弱性が発生しております。
このプラグインはWordPressにて表示が遅くなったサイトをキャッシュを利用しサイトの表示速度を改善することができるプラグインです。お使いの方は、バージョンの確認をすることを推奨します。
脆弱性はすでにアップデートによって修正済みで、バージョン0.9.5以上への更新によって塞ぐことができます。
（※2016年10月7日現在の最新版はバージョン0.9.5.1です。アップデートする際は、こちらの最新版へのアップデートをお勧めします。）
2つ目は、アクティブインストール100万以上、総ダウンロード数1,705万以上の人気プラグイン『WooCommerce』にクロスサイトスクリプティング（XSS）の脆弱性が発生しております。
このプラグインはWordPressをショッピングサイト化できる便利なプラグインです。お使いの方は、バージョンの確認をすることを推奨します。
脆弱性はすでにアップデートによって修正済みで、バージョン2.6.4以上への更新によって塞ぐことができます。
（※2016年10月7日時点での最新バージョンです。）
その他ご利用中の方が多い以下の人気プラグインにおいて脆弱性が発見されたため旧バージョンをご利用中の方は最新のプラグインにアップデートされることをお勧めいたします。
- WP-Piwikにてクロスサイトスクリプティング（XSS）
- MailPoet Newslettersにてクロスサイトスクリプティング（XSS）
内容別レポート
脆弱性の内容別発生件数は、1位がXSSで9件、2位がUPLOADで7件、3位はLFI、SQLインジェクション、BYPASSでそれぞれ2件でした。
トピックス
8月度と比較して、脆弱性の総数は減少しております。XSSが大きく減少したのが主な要因です。そのほかCSRFやSQLインジェクションなども減少しております。ただ一方でファイルアップロードに関する脆弱性に関しましては増加しております。
脆弱性一覧
2016年9月の脆弱性一覧をまとめましたのでご参照ください。
以下リストに掲載されている本体バージョン、テーマ、プラグインがある方は、一度診断されることをお勧めいたします。
脆弱性分類ですが、掲載時点の内容の為、ご確認いただく時点で内容不明の分類が変更されている可能性もございますので、それもKYUBIにて最新の状態をご確認いただくことをお勧めします。
また、ご確認のタイミングによっては新たな脆弱性が発見されている可能性もございますので、こちらもKYUBIにて一度ご診断していただくことをお勧めします。
また、バージョンに関しましては、脆弱性情報が発見されたものを記載しておりますが、そのバージョン未満でも同様の脆弱性が発生している可能性がある為、最新版に更新することをお勧めしております。
但し、最新版でも脆弱性内容が修正されていないプラグインも少なからず存在しておりますので、対策されていないプラグインをご利用の方は、ご利用を控えるか、別の同様のプラグインに変更されることをお勧めします。
表：2016年9月度脆弱性一覧
| 発見個所 | 脆弱性分類 | 脆弱性のある本体・プラグイン・テーマの名称 | 発見されたVer. |
| 本体 | LFI | WordPress | 2.8-4.6 |
| プラグイン | XSS | WP-Piwik | 1.0.10 |
| プラグイン | XSS | WP Front End Profile | 0.2.1 |
| プラグイン | PRIVESC | WP Front End Profile | 0.2.1 |
| 本体 | XSS | WordPress | 2.5-4.6 |
| プラグイン | UPLOAD | WooCommerce Product Addons | 1.1 |
| プラグイン | XSS | WooCommerce | 2.6.3 |
| プラグイン | XSS | W3 Total Cache | 0.9.4.1 |
| プラグイン | BYPASS | W3 Total Cache | 0.9.4.1 |
| プラグイン | UPLOAD | W3 Total Cache | 0.9.4.1 |
| プラグイン | CSRF | W3 Total Cache | 0.9.4.1 |
| プラグイン | RCE | W3 Total Cache | 0.9.4.1 |
| プラグイン | BYPASS | RB Agency | 2.4.7 |
| プラグイン | AUTHBYPASS | Order Export Import for WooCommerce | 1.0.8 |
| プラグイン | UPLOAD | N-Media Website Contact Form with File Upload | |
| プラグイン | UPLOAD | N-Media Website Contact Form with File Upload | |
| テーマ | UPLOAD | Neosense | 1.7 |
| プラグイン | XSS | MailPoet Newsletters | 2.7.2 |
| プラグイン | SQLI | MailPoet Newsletters | 2.7.2 |
| プラグイン | XSS | Kboard | 4.4 |
| プラグイン | SQLI | Kboard | 2.7 |
| プラグイン | UPLOAD | Front end file upload and manager Plugin | 3.9 |
| プラグイン | LFI | CYSTEME Finder | 1.3 |
| プラグイン | UPLOAD | CYSTEME Finder | 1.3 |
| プラグイン | XSS | brafton WordPress Plugin | 3.4.7 |
| プラグイン | XSS | Advanced ads Management | 1.3 |