Pocket

WordPress 2021年10月_脆弱性レポート  2021/11/30

2021年10月度のWordPressに関する脆弱性レポートをお知らせします。

10月度全体の脆弱性報告件数としては131件となっており、2021年9月度から6件減少しております。

個所別レポート

個所別の発生件数は、それぞれ本体が0件、プラグインが130件、テーマが1件でした。

本体に関しまして、今月も脆弱性が発生しております。

プラグインに関しましては、今月も脆弱性が発生しております。
先月に引き続いての発生となります。

プラグインの脆弱性は例月多く発見されているため、バージョン確認の実施を推奨します。

トピックス

プラグインに関しましては先月から3件減少し、131件の脆弱性が発見されました。そのうち2件の有名プラグインに脆弱性が発見されております。

以下、有名プラグインについて詳述します。

一つ目に、アクティブインストール100万以上、総ダウンロード数6300万以上の人気プラグイン『OptinMonster』にSENSITIVE DATA DISCLOSUREの脆弱性が発生しております。

このプラグインは、サイトにポップアップやフローティングバーを表示することができるリードキャプチャーツールのプラグインです。

お使いの方は、バージョンの確認を実施することを推奨します。

脆弱性はすでにアップデートによって修正済みで、バージョン2.6.5以上への更新によって塞ぐことができます。

二つ目に、アクティブインストール100万以上、総ダウンロード数2943万以上の人気プラグイン『Ninja Forms』にSQLIの脆弱性が発生しております。

このプラグインは、お問い合わせフォームを簡単に作成・設置できるプラグインです。

お使いの方は、バージョンの確認を実施することを推奨します。

脆弱性はすでにアップデートによって修正済みで、バージョン3.6.4以上への更新によって塞ぐことができます。

その他ご利用中の方が多い以下の人気プラグインにおいて脆弱性が発見されたため、旧バージョンをご利用中の方は最新のプラグインにアップデートされることを推奨します。

  • WP Fastest CacheにてMULTIとCSRF
  • Loco TranslateにてINJECTION
  • MainWP ChildにてSQLI
  • WPS Hide LoginにてBYPASS

また、今月の時点で提供が終了されたプラグインもいくつか存在しています。管理されておられるサイトにてご利用のプラグインが継続的に管理されていて最新版かどうか、脆弱性に対して対策がなされているかどうか、いま一度ご確認いただくことを推奨いたします。

内容別レポート

脆弱性の内容別発生件数は、1位がXSSで61件、2位がSQLIで23件、3位がCSRFで18件でした。

トピックス

XSSの発生件数が一番多く、例月通りの傾向です。

脆弱性一覧

2021年10月の脆弱性一覧をまとめましたのでご参照ください。

以下リストに掲載されているテーマ、プラグインがある方は、一度診断されることを推奨します。

本月次レポートは掲載時点の内容の為、ご確認いただく時点で内容不明の分類が変更されている可能性もございますので、それもKYUBIにて最新の状態をご確認いただくことを推奨します。

また、ご確認のタイミングによっては新たな脆弱性が発見されている可能性もございますので、こちらもKYUBIにて一度ご診断していただくことを推奨します。

また、バージョンに関しましては、脆弱性情報が発見されたものを記載しておりますが、そのバージョン未満でも同様の脆弱性が発生している可能性がある為、最新版に更新することを推奨します。

但し、最新版でも脆弱性内容が修正されていないプラグインも少なからず存在しておりますので、対策されていないプラグインをご利用の方は、ご利用を控えるか、別の同様のプラグインに変更されることを推奨します。

表:2021年10月度脆弱性一覧

発見個所 脆弱性分類 脆弱性のある本体・プラグイン・テーマの名称 発見されたVer.
プラグイン ACCESS CONTROLS Stripe For WooCommerce 3.0.0 – 3.3.9 – Missing Authorization Controls to Financial Account Hijacking 3.0.0 – 3.3.9
プラグイン XSS Ivory Search < 4.7 - Reflected Cross-Site Scripting 4.7 未満
プラグイン XSS Events Made Easy < 2.2.24 - Admin+ Stored Cross-Site Scripting 2.2.24 未満
プラグイン XSS BP Better Messages < 1.9.9.41 - Reflected Cross-Site Scripting 1.9.9.41 未満
プラグイン CSRF BP Better Messages < 1.9.9.41 - Multiple CSRF 1.9.9.41 未満
プラグイン CSRF Far Future Expiry Header < 1.5 - Plugin's Settings Update via CSRF 1.5 未満
プラグイン ACCESS CONTROLS Image Source Control < 2.3.1 - Contributor+ Arbitrary Post Meta Value Change 2.3.1 未満
プラグイン INCORRECT AUTHORISATION Logo Slider and Showcase < 1.3.37 - Editor Plugin's Settings Update 1.3.37 未満
プラグイン XSS MP3 Audio Player for Music, Radio & Podcast by Sonaar < 2.4.2 - Multiple Admin+ Cross Site Scripting 2.4.2 未満
プラグイン CSRF Paypal Donation < 1.3.1 - CSRF to Arbitrary Post Deletion 1.3.1 未満
プラグイン CSRF Paypal Donation < 1.3.1 - CSRF to Stored Cross-Site Scripting 1.3.1 未満
プラグイン XSS Coming Soon, Under Construction & Maintenance Mode By Dazzler < 1.6.7 - Admin+ Stored Cross-Site Scripting 1.6.7 未満
プラグイン XSS Translate WordPress – Google Language Translator < 6.0.12 - Admin+ Stored Cross-Site Scripting 6.0.12 未満
プラグイン XSS Booking.com Product Helper <= 1.0.1 - Admin+ Stored Cross-Site Scripting 1.0.1 以下
プラグイン XSS Booking.com Banner Creator <= 1.4.2 - Admin+ Stored Cross-Site Scripting 1.4.2 以下
プラグイン ACCESS CONTROLS Simple Download Monitor < 3.9.6 - Arbitrary Thumbnails Removal 3.9.6 未満
プラグイン SENSITIVE DATA DISCLOSURE Simple Download Monitor < 3.9.6 - Unauthenticated Log Access 3.9.6 未満
プラグイン XSS Simple Download Monitor < 3.9.5 - Reflected Cross-Site Scripting 3.9.5 未満
プラグイン XSS Simple Download Monitor < 3.9.5 - Contributor+ Stored Cross-Site Scripting via File Thumbnail 3.9.5 未満
プラグイン ACCESS CONTROLS Batch Cat <= 0.3 - Subscriber+ Arbitrary Categories Add/Set/Delete to Posts 0.3 以下
プラグイン ACCESS CONTROLS WP Survey Plus <= 1.0 - Subscriber+ AJAX Calls 1.0 以下
プラグイン SQLI WP Bannerize 2.0.0 – 4.0.2 – Authenticated SQL Injection 2.0.0 – 4.0.2
プラグイン CSRF Genie WP Favicon <= 0.5.2 - Arbitrary Favicon Change via CSRF 0.5.2 以下
プラグイン ACCESS CONTROLS Phoenix Media Rename < 3.4.4 - Author Arbitrary Media File Renaming 3.4.4 未満
プラグイン SQLI Visitor Traffic Real Time Statistics < 3.9 - Subscriber+ SQL Injection 3.9 未満
プラグイン XSS Formidable Form Builder < 5.0.07 - Admin+ Stored Cross-Site Scripting 5.0.07 未満
プラグイン XSS WP All Export < 1.3.1 - Admin+ Stored Cross-Site Scripting 1.3.1 未満
プラグイン CSRF Redirect 404 Error Page to Homepage or Custom Page with Logs < 1.7.9 - Log Deletion via CSRF 1.7.9 未満
プラグイン UPLOAD Access Demo Importer < 1.0.7 - Subscriber+ Arbitrary File Upload 1.0.7 未満
プラグイン SQLI Unlimited PopUps <= 4.5.3 - Author+ SQL Injection 4.5.3 以下
プラグイン SQLI Schreikasten <= 0.14.18 - Author+ SQL Injections 0.14.18 以下
プラグイン SQLI Post Content XMLRPC <= 1.0 - Admin+ SQL Injections 1.0 以下
プラグイン SQLI Wow Forms <= 3.1.3 - Admin+ SQL Injection 3.1.3 以下
プラグイン SQLI G Auto-Hyperlink <= 1.0.1 - Admin+ SQL Injection 1.0.1 以下
プラグイン SQLI Chameleon CSS <= 1.2 - Subscriber+ SQL Injection 1.2 以下
プラグイン SQLI SpiderCatalog <= 1.7.3 - Admin+ SQL Injection 1.7.3 以下
プラグイン XSS Support Board < 3.3.5 - Agent+ Stored Cross-Site Scripting 3.3.5 未満
プラグイン XSS Inline Related Posts < 3.0.5 - Admin+ Cross-Site Scripting 3.0.5 未満
プラグイン XSS WPSchoolPress < 2.1.17 - Multiple Admin+ Stored Cross-Site Scripting 2.1.17 未満
プラグイン SQLI WPSchoolPress < 2.1.10 - Multiple Authenticated SQL Injections 2.1.10 未満
テーマ IDOR Squaretype Modern Blog < 3.0.4 - Unauthenticated Private/Schedule Posts Disclosure 3.0.4 未満
プラグイン XSS Print-O-Matic < 2.0.3 - Admin+ Stored Cross-Site Scripting 2.0.3 未満
プラグイン SQLI Pie Register < 3.7.1.6 - Unauthenticated SQL Injection 3.7.1.6 未満
プラグイン AUTHBYPASS Pie Register < 3.7.1.6 - Unauthenticated Arbitrary Login 3.7.1.6 未満
プラグイン SQLI MAZ Loader < 1.3.3 - Contributor+ SQL Injection 1.3.3 未満
プラグイン XSS Storefront Footer Text <= 1.0.1 - Admin+ Stored Cross-Site Scripting 1.0.1 以下
プラグイン XSS Quiz Tool Lite <= 2.3.15 - Multiple Admin+ Stored Cross-Site Scripting 2.3.15 以下
プラグイン XSS Qwizcards < 3.62 - Admin+ Stored Cross Site Scripting 3.62 未満
プラグイン INJECTION Loco Translate < 2.5.4 - Authenticated PHP Code Injection 2.5.4 未満
プラグイン CSRF 404 to 301 < 3.0.9 - Logs Deletion via CSRF 3.0.9 未満
プラグイン ACCESS CONTROLS Post Expirator < 2.6.0 - Contributor+ Arbitrary Post Schedule Deletion 2.6.0 未満
プラグイン SQLI Header Footer Code Manager < 1.1.14 - Admin+ SQL Injections 1.1.14 未満
プラグイン XSS WP Header Images < 2.0.1 - Reflected Cross-Site Scripting 2.0.1 未満
プラグイン CSRF wpDiscuz < 7.3.4 - Arbitrary Comment Addition/Edition/Deletion via CSRF 7.3.4 未満
プラグイン SQLI Asgaros Forum < 1.15.13 - Unauthenticated SQL Injection 1.15.13 未満
プラグイン CSRF WP SEO Redirect 301 < 2.3.2 - Redirect Deletion via CSRF 2.3.2 未満
プラグイン SQLI WCFM – Frontend Manager for WooCommerce < 6.5.12 - Customer/Subscriber+ SQL Injection 6.5.12 未満
プラグイン SQLI Affiliate Manager < 2.8.7 - Admin+ SQL injection 2.8.7 未満
プラグイン RCE Similar Posts < 3.1.6 - Admin+ Arbitrary PHP Code Execution 3.1.6 未満
プラグイン XSS Testimonial Builder < 1.6.0 - Admin+ Stored Cross-Site Scripting 1.6.0 未満
プラグイン ACCESS CONTROLS Brizy 1.0.127 – 2.3.11 – Incorrect Authorization to Post Modification 1.0.127 – 2.3.11
プラグイン XSS Brizy < 2.3.12 - Authenticated Stored Cross-Site Scripting 2.3.12 未満
プラグイン UPLOAD Brizy < 2.3.12 - Authenticated File Upload and Path Traversal 2.3.12 未満
プラグイン CSRF Colorful Categories < 2.0.15 - Arbitrary Colors Update via CSRF 2.0.15 未満
プラグイン MULTI WP Fastest Cache < 0.9.5 - Subscriber+ SQL Injection 0.9.5 未満
プラグイン CSRF WP Fastest Cache < 0.9.5 - CSRF to Stored Cross-Site Scripting 0.9.5 未満
プラグイン XSS Business Manager <= 1.4.5 - Admin+ Stored Cross-Site Scripting 1.4.5 以下
プラグイン XSS Job Board Vanila <= 1.0 - Admin+ Stored Cross-Site Scripting 1.0 以下
プラグイン XSS WpGenius Job Listing <= 1.0.2 - Admin+ Stored Cross-Site Scripting 1.0.2 以下
プラグイン XSS Job Manager <= 0.7.25 - Admin+ Stored Cross-Site Scripting 0.7.25 以下
プラグイン XSS Job Portal <= 0.0.1 - Admin+ Stored Cross-Site Scripting 0.0.1 以下
プラグイン XSS MyBB Cross-Poster <= 1.0 - Admin+ Stored Cross-Site Scripting 1.0 以下
プラグイン XSS KJM Admin Notices <= 2.0.1 - Admin+ Stored Cross-Site Scripting 2.0.1 以下
プラグイン XSS HAL < 2.2 - Admin+ Stored Cross-Site Scripting 2.2 未満
プラグイン XSS Author Bio Box < 3.4.0 - Admin+ Stored Cross-Site Scripting 3.4.0 未満
プラグイン XSS YOP Poll < 6.3.1 - Author+ Stored Cross-Site Scripting via Options Module 6.3.1 未満
プラグイン XSS YOP Poll < 6.3.1 - Author+ Stored Cross-Site Scripting via Preview Module 6.3.1 未満
プラグイン XSS Indeed Job Importer <= 1.0.5 - Admin+ Stored Cross-Site Scripting 1.0.5 以下
プラグイン XSS MPL-Publisher – Self-publish your book & ebook < 1.30.4 - Admin+ Stored Cross-Site Scripting 1.30.4未満
プラグイン XSS JobBoardWP <= 1.0.7 - Admin+ Stored Cross-Site Scripting 1.0.7 以下
プラグイン XSS Shared Files < 1.6.61 - Admin+ Stored Cross-Site Scripting 1.6.61 未満
プラグイン XSS QR Redirector < 1.6.1 - Contributor+ Stored Cross-Site Scripting 1.6.1 未満
プラグイン ACCESS CONTROLS QR Redirector < 1.6 - Subscriber+ Arbitrary QR Redirect Response Status Update 1.6 未満
プラグイン CSRF MouseWheel Smooth Scroll < 5.7 - Plugin's Setting Update via CSRF 5.7 未満
プラグイン ACCESS CONTROLS Insert Pages < 3.7.0 - Contributor+ Arbitrary Posts/Pages Access 3.7.0 未満
プラグイン XSS Insert Pages < 3.7.0 - Contributor+ Stored Cross-Site Scripting 3.7.0 未満
プラグイン SQLI SEO Redirection < 8.2 - Subscriber+ SQL Injection 8.2 未満
プラグイン CSRF Paypal Donation < 1.3.2 - Admin+ Stored Cross-Site Scripting 1.3.2 未満
プラグイン CSRF Simple JWT Login < 3.2.1 - Arbitrary Settings Update to Site Takeover via CSRF 3.2.1 未満
プラグイン XSS My Tickets < 1.8.31 - Unauthenticated Stored Cross-Site Scripting 1.8.31 未満
プラグイン XSS Client Invoicing by Sprout Invoices < 19.9.7 - Admin+ Stored Cross-Site Scripting 19.9.7 未満
プラグイン SQLI Email Log < 2.4.7 - Admin+ SQL Injection 2.4.7 未満
プラグイン CSRF WP Performance Score Booster < 2.1 - Settings Change via CSRF 2.1 未満
プラグイン SQLI Stream < 3.8.2 - Admin+ SQL Injection 3.8.2 未満
プラグイン XSS Helpful < 4.4.59 - Admin+ Stored Cross-Site Scripting 4.4.59 未満
プラグイン XSS LearnPress < 4.1.3.2 - Admin+ Stored Cross-Site Scripting 4.1.3.2 未満
プラグイン XSS Content Staging <= 2.0.1 - Admin+ Stored Cross-Site Scripting 2.0.1 以下
プラグイン XSS Leaky Paywall <= 4.16.5 - Admin+ Stored Cross-Site Scripting 4.16.5 以下
プラグイン XSS Tutor LMS < 1.9.11 - Reflected Cross-Site Scripting 1.9.11 未満
プラグイン XSS Logo Showcase with Slick Slider < 1.2.4 - Author+ Stored Cross Site Scripting 1.2.4 未満
プラグイン ACCESS CONTROLS Download Plugin < 1.6.1 - Subscriber+ Arbitrary Plugin Activation 1.6.1 未満
プラグイン LFI Images to WebP < 1.9 - Multiple Cross Site Request Forgery (CSRF) 1.9 未満
プラグイン CSRF Images to WebP < 1.9 - Authenticated Local File Inclusion 1.9 未満
プラグイン XSS Easy Digital Downloads < 2.11.2.1 - Reflected Cross-Site Scripting 2.11.2.1 未満
プラグイン XSS Advanced Access Manager < 6.8.0 - Admin+ Stored Cross-Site Scripting 6.8.0 未満
プラグイン XSS BetterLinks < 1.2.6 - Admin+ Stored Cross-Site Scripting 1.2.6 未満
プラグイン XSS Forminator < 1.15.4 - Admin+ Stored Cross-Site Scripting 1.15.4 未満
プラグイン ACCESS CONTROLS Sassy Social Share 3.3.23 – Missing Access Controls to PHP Object Injection 3.3.23
プラグイン UPLOAD Catch Themes Demo Import < 1.8 - Admin+ Arbitrary File Upload 1.8 未満
プラグイン XSS Simple Job Board < 2.9.5 - Admin+ Stored Cross-Site Scripting 2.9.5 未満
プラグイン DOS Reviews Plus < 1.2.14 - Subscriber+ Reviews DoS 1.2.14 未満
プラグイン XSS Slideshow Gallery < 1.7.4 - Admin+ Stored Cross-Site Scripting 1.7.4 未満
プラグイン SQLI MainWP Child < 4.1.8 - Admin+ SQL Injection 4.1.8 未満
プラグイン XSS eCommerce Product Catalog for WordPress < 3.0.39 - Reflected Cross-Site Scripting 3.0.39 未満
プラグイン XSS Video Lessons Manager – Admin+ Stored Cross-Site Scripting
プラグイン CSRF MAZ Loader <= 1.3.4 - Arbitrary Loader Deletion via CSRF 1.3.4 以下
プラグイン SQLI Duplicate Post < 1.2.0 - Authenticated SQL Injection 1.2.0 未満
プラグイン XSS Notification < 8.0.0 - Admin+ Stored Cross-Site Scripting 8.0.0 未満
プラグイン XSS Media-Tags <= 3.2.0.2 - Admin+ Stored Cross-Site Scripting 3.2.0.2 以下
プラグイン XSS Popup Anything < 2.0.4 - Contributor+ Stored Cross-Site Scripting 2.0.4 未満
プラグイン XSS About Author Box < 1.0.2 - Contributor+ Stored Cross-Site Scripting 1.0.2 未満
プラグイン ACCESS CONTROLS Bulk Datetime Change < 1.12 - Missing Authorisation 1.12 未満
プラグイン SQLI Ninja Forms < 3.6.4 - Admin+ SQL Injection 3.6.4 未満
プラグイン ACCESS CONTROLS HashThemes Demo Importer < 1.1.2 - Improper Access Control to Blog Reset 1.1.2 未満
プラグイン SQLI Mang Board WP < 1.6.9 - SQL Injection 1.6.9 未満
プラグイン XSS Registrations for The Events Calendar < 2.7.5 - Reflected Cross-Site Scripting 2.7.5 未満
プラグイン SENSITIVE DATA DISCLOSURE OptinMonster < 2.6.5 - Unprotected REST-API Endpoints 2.6.5 未満
プラグイン BYPASS WPS Hide Login < 1.9.1 - Protection Bypass with Referer-Header 1.9.1 未満
プラグイン CSRF URL Shortify < 1.5.1 - Arbitrary Link/Group Deletion via CSRF 1.5.1 未満
プラグイン XSS NextScripts: Social Networks Auto-Poster < 4.3.21 - Reflected Cross-Site Scripting 4.3.21 未満
プラグイン ACCESS CONTROLS Smash Balloon Social Post Feed < 4.0.1 - Subscriber+ Arbitrary Plugin Settings Update to Stored XSS 4.0.1 未満