Pocket

WordPress 2021年11月_脆弱性レポート  2021/12/28

2021年11月度のWordPressに関する脆弱性レポートをお知らせします。

11月度全体の脆弱性報告件数としては99件となっており、2021年10月度から32件減少しております。

個所別レポート

個所別の発生件数は、それぞれ本体が2件、テーマが0件、プラグインが97件でした。

本体に関しまして、今月は脆弱性が発生しております。

テーマに関しましては、今月は脆弱性が発生しておりませんでした。

プラグインの脆弱性は例月多く発見されているため、バージョン確認の実施を推奨します。

トピックス

プラグインに関しましては先月から34件減少し、97件の脆弱性が発見されました。そのうち1件の有名プラグインに脆弱性が発見されております。

以下、有名プラグインについて詳述します。

アクティブインストール200万以上、総ダウンロード数2400万以上の人気プラグイン『LiteSpeed Cache』にBYPASSとXSSの脆弱性が発生しております。

このプラグインは、LiteSpeed Webサーバーで利用できるキャッシュ機能プラグインです。

お使いの方は、バージョンの確認を実施することを推奨します。

脆弱性はすでにアップデートによって修正済みで、バージョン4.4.4以上への更新によって塞ぐことができます。

その他ご利用中の方が多い以下の人気プラグインにおいて脆弱性が発見されたため、旧バージョンをご利用中の方は最新のプラグインにアップデートされることを推奨します。

  • ProfilePressにてACCESS CONTROLS
  • Download ManagerにてXSS
  • WP Reset ProにてNO AUTHORISATIONとCSRF
  • Caldera formsにてXSS
  • Paid Memberships ProにてXSS

また、今月の時点で提供が終了されたプラグインもいくつか存在しています。管理されておられるサイトにてご利用のプラグインが継続的に管理されていて最新版かどうか、脆弱性に対して対策がなされているかどうか、いま一度ご確認いただくことを推奨いたします。

内容別レポート

脆弱性の内容別発生件数は、1位がXSSで51件、2位がSQLIで17件、3位がCSRFで10件でした。

トピックス

XSSの発生件数が一番多く、例月通りの傾向です。

脆弱性一覧

2021年11月の脆弱性一覧をまとめましたのでご参照ください。

以下リストに掲載されているテーマ、プラグインがある方は、一度診断されることを推奨します。

本月次レポートは掲載時点の内容の為、ご確認いただく時点で内容不明の分類が変更されている可能性もございますので、それもKYUBIにて最新の状態をご確認いただくことを推奨します。

また、ご確認のタイミングによっては新たな脆弱性が発見されている可能性もございますので、こちらもKYUBIにて一度ご診断していただくことを推奨します。

また、バージョンに関しましては、脆弱性情報が発見されたものを記載しておりますが、そのバージョン未満でも同様の脆弱性が発生している可能性がある為、最新版に更新することを推奨します。

但し、最新版でも脆弱性内容が修正されていないプラグインも少なからず存在しておりますので、対策されていないプラグインをご利用の方は、ご利用を控えるか、別の同様のプラグインに変更されることを推奨します。

表:2021年11月度脆弱性一覧

発見個所 脆弱性分類 脆弱性のある本体・プラグイン・テーマの名称 発見されたVer.
本体 UNKNOWN WordPress 5.8未満
本体 UNKNOWN WordPress 5.8.2未満
プラグイン ACCESS CONTROLS Contest Gallery 13.1.0.6未満
プラグイン XSS Check & Log Email 1.0.4未満
プラグイン SQLI BSK PDF Manager 3.1.2未満
プラグイン ACCESS CONTROLS Stylish Cost Calculator 7.04未満
プラグイン XSS Shop Page WP 1.2.8未満
プラグイン XSS WP RSS Aggregator 4.19.2未満
プラグイン XSS GenerateBlocks 1.4.0未満
プラグイン SQLI Email Before Download 6.8未満
プラグイン SQLI myCred 2.3未満
プラグイン XSS Google Maps Easy 1.10.1未満
プラグイン XSS My Calendar 3.2.18未満
プラグイン XSS ARForms Form Builder 1.5未満
プラグイン AUTHBYPASS WP DSGVO Tools (GDPR) 3.1.24未満
プラグイン XSS WP All Import 3.6.3未満
プラグイン XSS WP Google Fonts 3.1.5未満
プラグイン SQLI Registrations for the Events Calendar 2.7.6未満
プラグイン XSS LoginWP 3.0.0.5未満
プラグイン XSS WooCommerce Currency Switcher 1.3.7.1未満
プラグイン SQLI Secure Copy Content Protection and Content Locking 2.8.2未満
プラグイン XSS Bookly 20.3.1未満
プラグイン XSS Email Log 2.4.8未満
プラグイン NO AUTHORISATION Tawk.to Live Chat 0.6.0未満
プラグイン SQLI WP Data Access 5.0.0未満
プラグイン XSS PDF.js Viewer 2.0.2未満
プラグイン SQLI LearnPress 4.1.4未満
プラグイン XSS Get Custom Field Values 4.0.1未満
プラグイン INCORRECT AUTHORISATION Get Custom Field Values 4.0未満
プラグイン XSS Booking Package 1.5.11未満
プラグイン NO AUTHORISATION WP Reset Pro 5.99未満
プラグイン CSRF WP Reset Pro 5.99未満
プラグイン SENSITIVE DATA DISCLOSURE Like Button Rating 2.6.38未満
プラグイン XSS Caldera forms 1.9.5未満
プラグイン XSS Starter Templates 2.7.1未満
プラグイン XSS Contact Form Email 1.3.25未満
プラグイン XSS Pixel Cat Lite 2.6.3未満
プラグイン CSRF Pixel Cat Lite 2.6.2未満
プラグイン LFI All-In-One-Gallery 2.5.0未満
プラグイン SQLI StopBadBots 6.67未満
プラグイン INCORRECT AUTHORISATION Temporary Login Without Password 1.7.1未満
プラグイン XSS ProfilePress 3.2.3未満
プラグイン XSS ProfilePress 3.2.3未満
プラグイン SQLI Modern Events Calendar 6.1.5未満
プラグイン XSS Modern Events Calendar Lite 6.1.5未満
プラグイン XSS Auto Featured Image 3.9.3未満
プラグイン XSS Ultimate NoFollow 1.4.8以下
プラグイン XSS NEX-Forms 7.9.4以下
プラグイン SQLI SEO Booster 3.7以下
プラグイン XSS WP System Log 1.0.21未満
プラグイン XSS Inspirational Quote Rotator 1.0.0以下
プラグイン XSS Single Post Exporter 1.1.1以下
プラグイン XSS Flex Local Fonts 1.0.0以下
プラグイン CSRF WP Admin Logo Changer 1.0以下
プラグイン NO AUTHORISATION Contact Form Advanced Database 1.0.8以下
プラグイン XSS Shiny Buttons 1.1.0以下
プラグイン CSRF Filter Portfolio Gallery 1.5以下
プラグイン CSRF WP Limits 1.0以下
プラグイン ACCESS CONTROLS Page/Post Content Shortcode 1.0以下
プラグイン ACCESS CONTROLS Improved Include Page 1.2以下
プラグイン SQLI Mediamatic 2.7以下
プラグイン XSS Display Post Metadata 1.5.0未満
プラグイン OBJECT INJECTION ToTop Link 1.7.1以下
プラグイン ACCESS CONTROLS User Meta Shortcodes 0.5以下
プラグイン SQLI Quotes Collection 2.5.2以下
プラグイン CSRF Push Notifications for WordPress (Lite) 6.0.1未満
プラグイン XSS SportsPress 2.7.9未満
プラグイン UPLOAD Directorist – Business Directory Plugin 7.0.6.2未満
プラグイン XSS Preview E-mails for WooCommerce 2.0.0未満
プラグイン CSRF Backup Migration 1.1.6未満
プラグイン CSRF Easy Registration Forms 2.1.1以下
プラグイン XSS Logo Carousel 3.4.2未満
プラグイン IDOR Logo Carousel 3.4.2未満
プラグイン SQLI Ni WooCommerce Custom Order Status 1.9.7未満
プラグイン SQLI WCFM – WooCommerce Multivendor Marketplace 3.4.12未満
プラグイン XSS Everest Forms 1.8.0未満
プラグイン SQLI WP Visitor Statistics (Real Time Traffic) 4.8未満
プラグイン XSS Icegram 2.0.5未満
プラグイン XSS Blog2Social 6.8.7未満
プラグイン NO AUTHORISATION WP Guppy 1.3未満
プラグイン XSS Paid Memberships Pro 2.6.6未満
プラグイン XSS Gwolle Guestbook 4.2.0未満
プラグイン XSS WPFront User Role Editor 3.2.1.11184 未満
プラグイン XSS Tickera 3.4.8.3未満
プラグイン NO AUTHORISATION Hide My WP 6.2.4未満
プラグイン SQLI Hide My WP 6.2.4未満
プラグイン XSS Awesome Support 6.0.7未満
プラグイン SQLI Rich Reviews by Starfish 1.9.6未満
プラグイン XSS Typebot 1.4.3未満
プラグイン XSS Contact Form & Lead Form Elementor Builder 1.6.4未満
プラグイン XSS Download Manager 3.2.22未満
プラグイン XSS WP RSS Aggregator 4.19.3未満
プラグイン XSS Buttonizer – Smart Floating Action Button 2.5.5未満
プラグイン XSS WP Mail Logging 1.10.0未満
プラグイン CSRF Stetic 1.0.9未満
プラグイン CSRF Contact Form With Captcha 1.6.2以下
プラグイン XSS Asgaros Forums 1.15.14未満
プラグイン BYPASS LiteSpeed Cache 4.4.4未満
プラグイン XSS LiteSpeed Cache 4.4.4未満