WordPress 2017年10月_脆弱性レポート 2017/11/02
2017年10月度のWordPressに関する脆弱性レポートをお知らせします。
10月度全体の脆弱性報告件数としては20件でした。9月度から4件減少しております。
個所別レポート
個所別の発生件数は、それぞれ本体で1件、テーマは0件、プラグインが19件でした。
内容ですが、本体に関して件1の脆弱性が発生しました。9月以来の発生です。
テーマに関しましては今月は脆弱性が発生しませんでした。
また先月に引き続き最多発生はプラグインとなり、脆弱性に気を配る必要があることがわかります。
トピックス
前述のとおり本体に関しましては、脆弱性が1件発生しております。
内容としましては、ブログにて速報しております通り、バージョン4.8.2以下にSQLインジェクションの脆弱性が発生しております。
WordPressの本体に対しては直接影響を受けないとされているが、プラグインやテーマなどで脆弱性が生じるおそれがあります。
（参照リンク：WordPress 4.8.3 Security Release）
対策版に関しましては下表のとおりです。
| 現在ご利用のバージョン | 対策済みバージョン |
| 2.3~3.6.1 | 4.8.3 |
| 3.7~3.7.22 | 3.7.23 |
| 3.8~3.8.22 | 3.8.23 |
| 3.9~3.9.20 | 3.9.21 |
| 4.0~4.0.19 | 4.0.20 |
| 4.1~4.1.19 | 4.1.20 |
| 4.2~4.2.16 | 4.2.17 |
| 4.3~4.3.12 | 4.3.13 |
| 4.4~4.4.11 | 4.4.12 |
| 4.5~4.5.10 | 4.5.11 |
| 4.6~4.6.7 | 4.6.8 |
| 4.7~4.7.6 | 4.7.7 |
| 4.8~4.8.2 | 4.8.3 |
（※2017年11月14日に最新バージョン4.9がリリース予定です。）
テーマに関しましては前述のとおり脆弱性が発生しませんでした。
プラグインに関しましては、先月から3件増加し19件の脆弱性が発見されました。そのうち有名プラグインに脆弱性が発見されました。
1つ目は、アクティブインストール90万以上、総ダウンロード数762万以上の人気プラグイン『Smush Image Compression and Optimization』にLFIの脆弱性が発生しております。
このプラグインは、WordPress へ画像アップ時に自動で圧縮してくれる WP Smush プラグインです。
お使いの方は、バージョンの確認をすることを推奨します。
脆弱性はすでにアップデートによって修正済みで、バージョン2.7.6以上への更新によって塞ぐことができます。
（※2017年11月2日現在の最新版はバージョン2.7.6ですのでこちらの最新版への更新をお勧めします。）
2つ目は、アクティブインストール10万以上、総ダウンロード数74万以上のプラグイン『Caldera Forms – More Than Contact Forms』にクロスサイトスクリプティング（XSS）の脆弱性が発生しております。
このプラグインは、WordPressにて簡単なドラッグ&ドロップでフォームを作るプラグインです。
お使いの方は、バージョンの確認をすることを推奨します。
脆弱性はすでにアップデートによって修正済みで、バージョン1.5.5以上への更新によって塞ぐことができます。
（※2017年11月2日現在の最新版はバージョン1.5.6.2ですのでこちらの最新版への更新をお勧めします。）
その他ご利用中の方が多い以下の人気プラグインにおいて脆弱性が発見されたため旧バージョンをご利用中の方は最新のプラグインにアップデートされることをお勧めいたします。
- Import any XML or CSV File to WordPressにてクロスサイトスクリプティング（XSS）
- Contact Form for WordPress – Ultimate Form Builder LiteにてSQLインジェクション（SQLI）
- Simple Login LogにてSQLインジェクション（SQLI）
- Invite Anyoneにて許可していないPHPのオブジェクトをインジェクションする脆弱性
- RegistrationMagic-Custom Registration Formsにて許可していないPHPのオブジェクトをインジェクションする脆弱性
内容別レポート
脆弱性の内容別発生件数は、1位がXSSで8件、2位がその他で6件、3位がSQLインジェクションで4件でした。
トピックス
9月度と比較して、脆弱性の数は減少しているが、XSSとSQLインジェクションなどは相変わらず発生件数が多く、先月とあまり変わらない結果となっております。
脆弱性一覧
2017年10月の脆弱性一覧をまとめましたのでご参照ください。
以下リストに掲載されている本体バージョン、プラグインがある方は、一度診断されることをお勧めいたします。
脆弱性分類ですが、掲載時点の内容の為、ご確認いただく時点で内容不明の分類が変更されている可能性もございますので、それもKYUBIにて最新の状態をご確認いただくことをお勧めします。
また、ご確認のタイミングによっては新たな脆弱性が発見されている可能性もございますので、こちらもKYUBIにて一度ご診断していただくことをお勧めします。
また、バージョンに関しましては、脆弱性情報が発見されたものを記載しておりますが、そのバージョン未満でも同様の脆弱性が発生している可能性がある為、最新版に更新することをお勧めしております。
但し、最新版でも脆弱性内容が修正されていないプラグインも少なからず存在しておりますので、対策されていないプラグインをご利用の方は、ご利用を控えるか、別の同様のプラグインに変更されることをお勧めします。
表：2017年10月度脆弱性一覧
| 発見個所 | 脆弱性分類 | 脆弱性のある本体・プラグイン・テーマの名称 | 発見されたVer. |
| 本体 | SQLI | $wpdb->prepare() Weakness | 4.8.2以下 |
| プラグイン | UNKNOWN | WordCamp Talks | 21.0.0-beta2 |
| プラグイン | SSRF | Qards | – |
| プラグイン | XSS | Qards | – |
| プラグイン | SQLI | WPHRM | 1.0 |
| プラグイン | SQLI | content_timeline | – |
| プラグイン | XSS | PopCash.Net Code Integration Tool | 1.0 |
| プラグイン | XSS | User Login History | 1.5 |
| プラグイン | XSS | pootle-button | 1.1.1 |
| プラグイン | MULTI | ultimate-form-builder-lite | 1.3.6 |
| プラグイン | XSS | easy-appointments | 1.11.7 |
| プラグイン | XSS | Post SMTP Mailer/Email Log | – |
| プラグイン | UNKNOWN | Flickr Gallery | 1.5.2 |
| プラグイン | XSS | Caldera Forms | 1.5.4 |
| プラグイン | UNKNOWN | Appointments | 1.6.3 |
| プラグイン | XSS | Shibboleth | 1.7 |
| プラグイン | XSS | Import any XML or CSV File to WordPress | 3.4.5 |
| プラグイン | UNKNOWN | Invite Anyone | 1.3.18 |
| プラグイン | UNKNOWN | RegistrationMagic-Custom Registration Forms | 3.7.9.2 |
| プラグイン | SQLI | Simple Login Log | 1.1.0 |