WordPress 2018年5月_脆弱性レポート 2018/6/1
2018年5月度のWordPressに関する脆弱性レポートをお知らせします。
5月度全体の脆弱性報告件数としては12件でした。2018年4月度から7件減少しております。
個所別レポート
個所別の発生件数は、それぞれ本体が0件、テーマが1件、プラグインが11件でした。
本体に関しまして、今月は脆弱性が発生しませんでした。
テーマに関しましては脆弱性が発生しております。
2月以来の発生となります。
先月に引き続き最多発生はプラグインとなりました。
後述致しますが、今月は有名なプラグインにて脆弱性が発生していますので、気を配る必要があります。
トピックス
前述のとおり本体に関しましては、脆弱性が発生しませんでした。
脆弱性は発生しておりませんが、いくつかのバグが修正されたバージョン4.9.6が5月17日にリリースされてますので、最新のものを使用することをおすすめします。
テーマに関しましては前述のとおり、1件脆弱性が発生しております。
「BBE」という海外のテーマから、BYPASSの脆弱性が発見されました。
脆弱性はすでにアップデートによって修正済みで、バージョン1.53以上への更新によって塞ぐことができます。
プラグインに関しましては、先月から5件減少し11件の脆弱性が発見されました。そのうち有名プラグインに脆弱性が発見されました。
1つ目は、アクティブインストール100万以上、総ダウンロード数2170万以上の人気プラグイン『NextGEN Gallery』にXSSの脆弱性が発生しております。
このプラグインは、多くの写真や画像を使ったギャラリーを作成し記事に簡単に設置することができるプラグインです。
お使いの方は、バージョンの確認をすることを推奨します。
脆弱性はすでにアップデートによって修正済みで、バージョン2.2.45以上への更新によって塞ぐことができます。
（※2018年6月1日現在の最新版はバージョン3.0.1ですのでこちらの最新版への更新をお勧めします。）
2つ目は、アクティブインストール70万以上、総ダウンロード数267万以上の人気プラグイン『Loginizer』にXSSの脆弱性が発生しております。
このプラグインは、ブルートフォース攻撃に対して対策を行えるプラグインです。
お使いの方は、バージョンの確認をすることを推奨します。
脆弱性はすでにアップデートによって修正済みで、バージョン1.4.0以上への更新によって塞ぐことができます。
（※2018年6月1日現在の最新版もバージョン1.4.0になっております。）
3つ目は、アクティブインストール10万以上、総ダウンロード数225万以上の人気プラグイン『Form Maker by WD』にCSV Injectionの脆弱性が発生しております。
このプラグインは、ドラッグ&ドロップでフォームを作成できるプラグインです。
お使いの方は、バージョンの確認をすることを推奨します。
脆弱性はすでにアップデートによって修正済みで、バージョン1.12.24以上への更新によって塞ぐことができます。
（※2018年6月1日現在の最新版はバージョン1.12.26ですのでこちらの最新版への更新をお勧めします。）
その他ご利用中の方が多い以下の人気プラグインにおいて脆弱性が発見されたため旧バージョンをご利用中の方は最新のプラグインにアップデートされることをお勧めいたします。
- WP Live Chat Supportにてクロスサイトスクリプティング（XSS）
- WF Cookie Consentにてクロスサイトスクリプティング（XSS）
- wpForo ForumにてSQLI
- WP Ulikeにてクロスサイトスクリプティング（XSS）
- Metronet Tag ManagerにてCSRF
- GD bbPress Attachmentsにてクロスサイトスクリプティング（XSS）
内容別レポート
脆弱性の内容別発生件数は、1位がXSSで6件、2位がCSRFで2件、3位がRCE、SQLi、BYPASS、その他が1件ずつでした。
トピックス
4月度と比較して、全体的に脆弱性の発生件数が減少しております。
クロスサイトスクリプティング（XSS）の発生件数は、先月と同じく発生件数は1位となりました。
脆弱性一覧
2018年5月の脆弱性一覧をまとめましたのでご参照ください。
以下リストに掲載されている本体バージョン、テーマ、プラグインがある方は、一度診断されることをお勧めいたします。
脆弱性分類ですが、掲載時点の内容の為、ご確認いただく時点で内容不明の分類が変更されている可能性もございますので、それもKYUBIにて最新の状態をご確認いただくことをお勧めします。
また、ご確認のタイミングによっては新たな脆弱性が発見されている可能性もございますので、こちらもKYUBIにて一度ご診断していただくことをお勧めします。
また、バージョンに関しましては、脆弱性情報が発見されたものを記載しておりますが、そのバージョン未満でも同様の脆弱性が発生している可能性がある為、最新版に更新することをお勧めしております。
但し、最新版でも脆弱性内容が修正されていないプラグインも少なからず存在しておりますので、対策されていないプラグインをご利用の方は、ご利用を控えるか、別の同様のプラグインに変更されることをお勧めします。
表：2018年5月度脆弱性一覧
| 発見個所 | 脆弱性分類 | 脆弱性のある本体・プラグイン・テーマの名称 | 発見されたVer. |
| テーマ | BYPASS | BBE Theme | 1.52 |
| プラグイン | RCE | ProfileGrid – User Profiles, Groups and Communities | 2.8.5 |
| プラグイン | SQLI | wpForo Forum | 1.4.9 |
| プラグイン | XSS | Loginizer | 1.3.8-1.3.9 |
| プラグイン | CSRF | WP User Groups | 2.0.0 |
| プラグイン | XSS | WF Cookie Consent | 1.1.3 |
| プラグイン | XSS | WP Ulike | 3.1 |
| プラグイン | CSRF | Metronet Tag Manager | 1.2.7 |
| プラグイン | XSS | GD bbPress Attachments | 2.5 |
| プラグイン | XSS | WP Live Chat Support | 8.0.07 |
| プラグイン | UNKNOWN | Form Maker by WD | 1.12.22 |
| プラグイン | XSS | NextGEN Gallery | 2.2.44 |