WordPress用プラグイン「WP All Import」にスクリプト実行の複数の脆弱性(JVN) | ScanNetSecurity[国内最大級のサイバーセキュリティ専門ポータルサイト]
2019.04.20(土)

WordPress用プラグイン「WP All Import」にスクリプト実行の複数の脆弱性(JVN)

IPAおよびJPCERT/CCは、Soflyyが提供するWordPress用プラグイン「WP All Import」に複数のクロスサイトスクリプティングの脆弱性が存在すると「JVN」で発表した。

脆弱性と脅威 セキュリティホール・脆弱性
独立行政法人 情報処理推進機構(IPA)および一般社団法人 JPCERT コーディネーションセンター(JPCERT/CC)は3月8日、Soflyyが提供するWordPress用プラグイン「WP All Import」に複数のクロスサイトスクリプティング(XSS)の脆弱性が存在すると「Japan Vulnerability Notes(JVN)」で発表した。CVSS v3によるBase Scoreは6.1。ゲヒルン株式会社のマルダン ムイデン氏(CVE-2018-0546)、およびNTTコミュニケーションズ株式会社の東内裕二氏(CVE-2018-0547)が報告を行った。

「WP All Import 3.4.6 より前のバージョン」には、ファイルアップロード機能に関するXSS(CVE-2018-0546)、「WP All Import 3.4.7 より前のバージョン」には、反射型のXSS(CVE-2018-0547)の脆弱性が存在する。この脆弱性が悪用されると、ユーザのWebブラウザ上で任意のスクリプトを実行される可能性がある。JVNでは、開発者が提供する情報をもとに最新版へアップデートするよう呼びかけている。

《吉澤 亨史( Kouji Yoshizawa )》

関連記事

PageTop

特集

アクセスランキング

  1. 伝説的ハッカーグループ出身者が大統領候補に(The Register)

    伝説的ハッカーグループ出身者が大統領候補に(The Register)

  2. ここが変だよ日本のセキュリティ 第37回 「CSIRT体制構築ブームに、スプラッシュマウンテンの滝の音が聞こえる」

    ここが変だよ日本のセキュリティ 第37回 「CSIRT体制構築ブームに、スプラッシュマウンテンの滝の音が聞こえる」

  3. OracleがJavaをアップデート、商用ユーザ向けJava SE 8は提供終了(IPA、JPCERT/CC)

    OracleがJavaをアップデート、商用ユーザ向けJava SE 8は提供終了(IPA、JPCERT/CC)

  4. 疑問その7「CASBベンダ統廃合の過去、そして未来」~日商エレに聞く、CASBとクラウドセキュリティの疑問

    疑問その7「CASBベンダ統廃合の過去、そして未来」~日商エレに聞く、CASBとクラウドセキュリティの疑問PR

  5. 人事異動案に関するデータを無断で持ち出しLINEで拡散、関係した職員を懲戒処分に(吉川松伏消防組合)

    人事異動案に関するデータを無断で持ち出しLINEで拡散、関係した職員を懲戒処分に(吉川松伏消防組合)

  6. 複数のVPN製品に、正規ユーザになりすまされる脆弱性(JVN)

    複数のVPN製品に、正規ユーザになりすまされる脆弱性(JVN)

  7. 新時代の産業に向けたセキュリティ対策フレームワークを策定(経済産業省)

    新時代の産業に向けたセキュリティ対策フレームワークを策定(経済産業省)

  8. CrowdStrike Blog:AutoMacTC - Macのフォレンジックトリアージ自動化ツール公開

    CrowdStrike Blog:AutoMacTC - Macのフォレンジックトリアージ自動化ツール公開

  9. いまや攻撃サーバは海外には無い(The Register)

    いまや攻撃サーバは海外には無い(The Register)

  10. 不正アクセスで「ショコラ ベルアメール」オンラインショップのカード情報が流出(ジェイ・ワークス)

    不正アクセスで「ショコラ ベルアメール」オンラインショップのカード情報が流出(ジェイ・ワークス)

ランキングをもっと見る