WordPress 2021年7月_脆弱性レポート 2021/8/31
2021年7月度のWordPressに関する脆弱性レポートをお知らせします。
7月度全体の脆弱性報告件数としては90件となっており、2021年6月度から1件減少しております。
個所別レポート
個所別の発生件数は、それぞれ本体が0件、プラグインが85件、テーマが5件でした。
本体に関しまして、今月は脆弱性が発生しておりません。
プラグインに関しましては、今月も脆弱性が発生しております。
先月に引き続いての発生となります。
プラグインの脆弱性は例月多く発見されているため、バージョン確認の実施を推奨します。
トピックス
プラグインに関しましては先月から増減はなく、85件の脆弱性が発見されました。そのうち2件の有名プラグインに脆弱性が発見されております。
以下、有名プラグインについて詳述します。
一つ目に、アクティブインストール500万以上、総ダウンロード数1億5000万以上の人気プラグイン『Woocommerce』にSQLIの脆弱性が発生しております。
このプラグインは、WordPressでECサイトを構築できるプラグインです。
お使いの方は、バージョンの確認を実施することを推奨します。
脆弱性はすでにアップデートによって修正済みで、バージョン5.6.0以上への更新によって塞ぐことができます。
二つ目に、アクティブインストール30万以上、総ダウンロード数1億3000万以上の人気プラグイン『Photo Gallery』にXSSの脆弱性が発生しております。
このプラグインは、写真や動画をギャラリー、スライドショー、アルバムとして掲載することができるプラグインです。
お使いの方は、バージョンの確認を実施することを推奨します。
脆弱性はすでにアップデートによって修正済みで、バージョン1.5.81以上への更新によって塞ぐことができます。
その他ご利用中の方が多い以下の人気プラグインにおいて脆弱性が発見されたため、旧バージョンをご利用中の方は最新のプラグインにアップデートされることを推奨します。
- MaintenanceにてXSS
- GTranslateにてXSS
- WordPress Download ManagerにてTRAVERSALとUPLOAD
- GiveWPにてXSS
- Favicon by RealFaviconGeneratorにてXSS
- SendGridにてAUTHBYPASS
- WPFront Scroll TopにてXSS
また、今月の時点で提供が終了されたプラグインもいくつか存在しています。管理されておられるサイトにて、ご利用のプラグインが提供元によって継続的に管理されていて最新版かどうか、脆弱性に対して対策が施されているかどうか、いま一度ご確認いただくことを推奨いたします。
内容別レポート
脆弱性の内容別発生件数は、1位がXSSで44件、2位がSQLiで18件、3位がCSRFで10件でした。
トピックス
XSSの発生件数が一番多く、例月通りの傾向です。
脆弱性一覧
2021年7月の脆弱性一覧をまとめましたのでご参照ください。
以下リストに掲載されているテーマ、プラグインがある方は、一度診断されることを推奨します。
本月次レポートは掲載時点の内容の為、ご確認いただく時点で内容不明の分類が変更されている可能性もございますので、それもKYUBIにて最新の状態をご確認いただくことを推奨します。
また、ご確認のタイミングによっては新たな脆弱性が発見されている可能性もございますので、こちらもKYUBIにて一度ご診断していただくことを推奨します。
また、バージョンに関しましては、脆弱性情報が発見されたものを記載しておりますが、そのバージョン未満でも同様の脆弱性が発生している可能性がある為、最新版に更新することを推奨します。
但し、最新版でも脆弱性内容が修正されていないプラグインも少なからず存在しておりますので、対策されていないプラグインをご利用の方は、ご利用を控えるか、別の同様のプラグインに変更されることを推奨します。
表：2021年7月度脆弱性一覧
| 発見個所 | 脆弱性分類 | 脆弱性のある本体・プラグイン・テーマの名称 | 発見されたVer. |
| プラグイン | SQLI | Astra Pro Addon < 3.5.2 – Unauthenticated SQL Injection | 3.5.2未満 |
| プラグイン | CSRF | MDTF < 1.2.8 / 2.2.8 – Arbitrary Settings Update via CSRF | 1.2.8未満 |
| プラグイン | ACCESS CONTROLS | WP Upload Restriction <= 2.2.3 – Missing Access Control in getSelectedMimeTypesByRole | 2.2.3以下 |
| プラグイン | ACCESS CONTROLS | WP Upload Restriction <= 2.2.3 – Missing Access Control in deleteCustomType | 2.2.3以下 |
| プラグイン | XSS | WP Upload Restriction <= 2.2.3 – Authenticated Stored XSS | 2.2.3以下 |
| プラグイン | XSS | Marmoset Viewer < 1.9.3 – Reflected Cross Site Scripting | 1.9.3以下 |
| プラグイン | CSRF | WPCS < 1.1.7 – Arbitrary Plugin’s Settings Change via CSRF | 1.1.7以下 |
| プラグイン | CSRF | WP HTML Mail < 3.0.8 – CSRF to XSS | 3.0.8以下 |
| プラグイン | XSS | Popular Brand SVG Icons – Simple Icons < 2.7.8 – Contributor+ Stored XSS | 2.7.8以下 |
| プラグイン | RCE | Speed Booster Pack 4.2.0-beta – Authenticated (admin+) RCE | 4.2.0-beta |
| プラグイン | XSS | Forms < 1.12.3 – Authenticated Stored Cross-Site Scripting (XSS) | 1.12.3未満 |
| プラグイン | XSS | Community Event < 1.4.8 – Reflected Cross-Site Scripting (XSS) | 1.4.8未満 |
| プラグイン | XSS | WP Google Map < 1.7.7 – Authenticated Stored Cross-Site Scripting (XSS) | 1.7.7未満 |
| プラグイン | CSRF | Leaflet Map < 3.0.0 – Arbitrary Settings Update via CSRF Leading to Stored XSS | 3.0.0未満 |
| プラグイン | XSS | Leaflet Map < 3.0.0 – Contributor+ Stored XSS | 3.0.0未満 |
| プラグイン | XSS | WPFront Notification Bar < 2.0.0.07176 – Authenticated Stored XSS | 2.0.0.07176未満 |
| プラグイン | XSS | Page View Counts < 2.4.9 – Contributor+ Stored XSS | 2.4.9未満 |
| プラグイン | XSS | Video Posts Webcam Recorder < 3.2.4 – Authenticated Reflected XSS | 3.2.4未満 |
| プラグイン | XSS | Current Book <= 1.0.1 – Authenticated Stored Cross-Site Scripting (XSS) | 1.0.1以下 |
| プラグイン | SQLI | Woocommerce 3.3 to 5.5 – Authenticated Blind SQL Injection | 3.3 – 5.5 |
| プラグイン | SQLI | WooCommerce Blocks 2.5 to 5.5 – Unauthenticated SQL Injection | 2.5 – 5.5 |
| プラグイン | XSS | Form Maker < 1.13.60 – Authenticated Stored XSS | 1.13.60未満 |
| プラグイン | XSS | Photo Gallery < 1.5.75 – Stored Cross-Site Scripting via Uploaded SVG | 1.5.75未満 |
| プラグイン | TRAVERSAL | Photo Gallery < 1.5.75 – File Upload Path Traversal | 1.5.75未満 |
| プラグイン | XSS | Wonder PDF Embed < 1.7 – Contributor+ Stored XSS | 1.7未満 |
| プラグイン | XSS | Wonder Video Embed < 1.8 – Contributor+ Stored XSS | 1.8未満 |
| プラグイン | AUTHBYPASS | Profile Builder < 3.4.9 – Admin Access via Password Reset | 3.4.9未満 |
| プラグイン | XSS | Vik Rent Car < 1.1.10 – Authenticated Stored Cross-Site Scripting (XSS) | 1.1.10未満 |
| プラグイン | XSS | YouTube Embed < 5.2.2 – Contributor+ Stored XSS | 5.2.2未満 |
| プラグイン | XSS | My Site Audit <= 1.2.4 – Authenticated Stored Cross-Site Scripting (XSS) | 1.2.4以下 |
| プラグイン | XSS | Social Tape <= 1.0 – CSRF to Stored XSS | 1.0以下 |
| プラグイン | XSS | Telugu Bible Verse Daily <= 1.0 – CSRF to Stored XSS | 1.0以下 |
| プラグイン | CSRF | Verse-O-Matic <= 4.1.1 – CSRF to Stored XSS | 4.1.1未満 |
| プラグイン | XSS | Custom Login Redirect <= 1.0.0 – CSRF to Stored XSS | 1.0.0未満 |
| プラグイン | CSRF | Light Messages <= 1.0 – CSRF to Stored XSS | 1.0以下 |
| プラグイン | CSRF | Shantz WordPress QOTD <= 1.2.2 – Arbitrary Setting Update via CSRF | 1.2.2以下 |
| プラグイン | XSS | PhoneTrack Meu Site Manager <= 0.1 – Authenticated Stored XSS | 0.1以下 |
| プラグイン | XSS | Mimetic Books <= 0.2.13 – Authenticated Stored Cross-Site Scripting (XSS) | 0.2.13以下 |
| プラグイン | AUTHBYPASS | NEX Forms < 7.8.8 – Authentication Bypass for Excel Reports | 7.8.8未満 |
| プラグイン | AUTHBYPASS | NEX Forms < 7.8.8 – Authentication Bypass for PDF Reports | 7.8.8未満 |
| プラグイン | XSS | KN Fix Your Title <= 1.0.1 – Authenticated Stored XSS | 1.0.1以下 |
| プラグイン | SQLI | Giveaway <= 1.2.2 – Authenticated SQL Injection | 1.2.2以下 |
| プラグイン | PRIVESC | HM Multiple Roles < 1.3 – Arbitrary Role Change | 1.3以下 |
| プラグイン | XSS | Maintenance < 4.03 – Authenticated Stored XSS | 4.03未満 |
| プラグイン | XSS | Grid Gallery < 1.2.5 – Authenticated Stored Cross Site Scripting (XSS) | 1.2.5未満 |
| プラグイン | AUTHBYPASS | SendGrid <= 1.11.8 – Authenticated Authorization Bypass | 1.11.8以下 |
| プラグイン | CSRF | NewsPlugin <= 1.0.18 – CSRF to Stored Cross-Site Scripting | 1.0.18以下 |
| プラグイン | XSS | Charitable – Donation Plugin < 1.6.51 – Authenticated Stored Cross-Site Scripting (XSS) | 1.6.51未満 |
| プラグイン | LFI | WooCommerce Currency Switcher < 1.3.7 – Authenticated (Low Privilege) Local File Inclusion | 1.3.7未満 |
| プラグイン | XSS | Simple Post <= 1.1 – Authenticated Stored Cross-Site Scripting (XSS) | 1.1以下 |
| プラグイン | XSS | GTranslate < 2.8.65 – Reflected Cross-Site Scripting (XSS) | 2.8.65未満 |
| プラグイン | SQLI | Alipay <= 3.7.2 – Authenticated SQL Injection | 3.7.2以下 |
| プラグイン | SQLI | Cashtomer <= 1.0.0 – Authenticated SQL Injection | 1.0.0以下 |
| プラグイン | SQLI | WordPress Membership SwiftCloud.io <= 1.0 – Authenticated SQL Injection | 1.0以下 |
| プラグイン | SQLI | Comment Highlighter <= 0.13 – Authenticated SQL Injection | 0.13以下 |
| プラグイン | SQLI | Easy Testimonial Manager <= 1.2.0 – Authenticated SQL Injection | 1.2.0以下 |
| プラグイン | SQLI | Embed Youtube Video <= 1.0 – Authenticated SQL Injection | 1.0以下 |
| プラグイン | SQLI | Diary & Availability Calendar <= 1.0.3 – Authenticated (subscriber+) SQL Injection | 1.0.3以下 |
| プラグイン | XSS | Email Subscriber <= 1.1 – Unauthenticated Stored Cross-Site Scripting (XSS) | 1.1以下 |
| プラグイン | SQLI | M-vSlider <= 2.1.3 – Authenticated (admin+) SQL Injection | 2.1.3以下 |
| プラグイン | XSS | Project Status <= 1.6 – Reflected Cross-Site Scripting (XSS) | 1.6以下 |
| プラグイン | TRAVERSAL | AceIDE <= 2.6.2 – Authenticated (admin+) Arbitrary File Access | 2.6.2以下 |
| プラグイン | SQLI | Broken Link Manager <= 0.6.5 – Authenticated (admin+) SQL Injection | 0.6.5以下 |
| プラグイン | SQLI | Edit Comments <= 0.3 – Unauthenticated SQL Injection | 0.3以下 |
| プラグイン | SQLI | Simple Events Calendar <= 1.4.0 – Authenticated (admin+) SQL Injection | 1.4.0以下 |
| プラグイン | SQLI | Timeline Calendar <= 1.2 – Authenticated (admin+) SQL Injection | 1.2以下 |
| プラグイン | SQLI | Paytm – Donation Plugin <= 1.3.2 – Authenticated (admin+) SQL Injection | 1.3.2以下 |
| プラグイン | XSS | Simple Banner < 2.10.4 – Authenticated Stored XSS | 2.10.4未満 |
| プラグイン | XSS | HD Quiz < 1.8.4 – Authenticated Stored XSS | 1.8.4未満 |
| プラグイン | XSS | Contact Form 7 Captcha < 0.0.9 – CSRF to Stored XSS | 0.0.9未満 |
| プラグイン | XSS | WPFront Scroll Top < 2.0.6.07225 – Authenticated Stored XSS | 2.0.6.07225未満 |
| プラグイン | XSS | WP SMS < 5.4.13 – Authenticated Stored Cross-Site Scripting | 5.4.13未満 |
| プラグイン | XSS | Qyrr < 0.7 – Authenticated (contributor+) Stored XSS | 0.7未満 |
| プラグイン | XSS | GiveWP < 2.12.0 – Authenticated Stored XSS | 2.12.0未満 |
| プラグイン | XSS | Simple Social Media Share Buttons < 3.2.3 – Contributor+ Stored XSS | 3.2.3未満 |
| プラグイン | XSS | Blue Admin <= 21.06.01 – CSRF to Stored Cross-Site Scripting (XSS) | 21.06.01以下 |
| プラグイン | XSS | Favicon by RealFaviconGenerator < 1.3.22 – Reflected Cross-Site Scripting (XSS) | 1.3.22未満 |
| プラグイン | SQLI | Side Menu Lite < 2.2.6 – Authenticated SQL Injection | 2.2.6未満 |
| プラグイン | CSRF | Admin Custom Login < 3.2.8 – CSRF to Stored XSS | 3.2.8未満 |
| プラグイン | CSRF | SEO Backlinks <= 4.0.1 – CSRF to Stored XSS | 4.0.1以下 |
| プラグイン | XSS | Poll Maker < 3.2.9 – Reflected Cross-Site Scripting | 3.2.9未満 |
| プラグイン | CSRF | Post Index <= 0.7.5 – CSRF to Stored XSS | 0.7.5以下 |
| プラグイン | TRAVERSAL | WordPress Download Manager < 3.1.25 – Authenticated Directory Traversal | 3.1.25未満 |
| プラグイン | UPLOAD | WordPress Download Manager < 3.1.25 – Authenticated File Upload | 3.1.25未満 |
| プラグイン | TRAVERSAL | FluentSMTP < 2.0.1 – Authenticated Stored XSS | 2.0.1未満 |
| テーマ | XSS | Calendar Event Multi View < 1.4.01 – Unauthenticated Reflected Cross-Site Scripting (XSS) | 1.4.01 |
| テーマ | ACCESS CONTROLS | Workreap < 2.2.2 – Unauthenticated Upload Leading to Remote Code Execution | 2.2.2未満 |
| テーマ | MULTI | Workreap < 2.2.2 – Multiple CSRF + IDOR Vulnerabilities | 2.2.2未満 |
| テーマ | ACCESS CONTROLS | Workreap < 2.2.2 – Missing Authorization Checks in Ajax Actions | 2.2.2未満 |
| テーマ | XSS | Newsmag < 5.0 – Unauthenticated Reflected Cross-site Scripting (XSS) | 5.0未満 |