WordPress用プラグイン「WP All Import」にスクリプト実行の複数の脆弱性(JVN) | ScanNetSecurity[国内最大級のサイバーセキュリティ専門ポータルサイト]
2018.06.25(月)

WordPress用プラグイン「WP All Import」にスクリプト実行の複数の脆弱性(JVN)

脆弱性と脅威 セキュリティホール・脆弱性

独立行政法人 情報処理推進機構(IPA)および一般社団法人 JPCERT コーディネーションセンター(JPCERT/CC)は3月8日、Soflyyが提供するWordPress用プラグイン「WP All Import」に複数のクロスサイトスクリプティング(XSS)の脆弱性が存在すると「Japan Vulnerability Notes(JVN)」で発表した。CVSS v3によるBase Scoreは6.1。ゲヒルン株式会社のマルダン ムイデン氏(CVE-2018-0546)、およびNTTコミュニケーションズ株式会社の東内裕二氏(CVE-2018-0547)が報告を行った。

「WP All Import 3.4.6 より前のバージョン」には、ファイルアップロード機能に関するXSS(CVE-2018-0546)、「WP All Import 3.4.7 より前のバージョン」には、反射型のXSS(CVE-2018-0547)の脆弱性が存在する。この脆弱性が悪用されると、ユーザのWebブラウザ上で任意のスクリプトを実行される可能性がある。JVNでは、開発者が提供する情報をもとに最新版へアップデートするよう呼びかけている。

《吉澤 亨史》

関連記事

PageTop

特集

アクセスランキング

  1. Microsoft Windows OS においてライセンス認証プログラム slui.exe の仕組みを悪用して UAC を回避する手法(Scan Tech Report)

    Microsoft Windows OS においてライセンス認証プログラム slui.exe の仕組みを悪用して UAC を回避する手法(Scan Tech Report)

  2. アジア地域のセキュリティリーダー、6名の日本人がISLA賞を受賞((ISC)2)

    アジア地域のセキュリティリーダー、6名の日本人がISLA賞を受賞((ISC)2)

  3. BCCをTOに、メール誤送信366人分アドレス流出(和歌山市)

    BCCをTOに、メール誤送信366人分アドレス流出(和歌山市)

  4. 海にこぎ出す穴だらけの船舶 IoT システム、航路変換も可能(The Register)

    海にこぎ出す穴だらけの船舶 IoT システム、航路変換も可能(The Register)

  5. いまだ9万人がP2Pファイル共有ソフト利用、著作権侵害ファイル存在(ネットエージェント)

    いまだ9万人がP2Pファイル共有ソフト利用、著作権侵害ファイル存在(ネットエージェント)

  6. アカウント情報の有効期限が切れたとする、MUFGカードを騙るフィッシング(フィッシング対策協議会)

    アカウント情報の有効期限が切れたとする、MUFGカードを騙るフィッシング(フィッシング対策協議会)

  7. 3種類のエンジンを搭載する、Windows向け無料セキュリティ対策ソフト(エクサゴン)

    3種類のエンジンを搭載する、Windows向け無料セキュリティ対策ソフト(エクサゴン)

  8. 法人 iOS、Android 端末向けセキュリティサービス(ソフトバンク)

    法人 iOS、Android 端末向けセキュリティサービス(ソフトバンク)

  9. 超絶うっかり注意:GDPR 対応完了メール送信し情報漏えい、海外で炎上事案大量発生(The Register)

    超絶うっかり注意:GDPR 対応完了メール送信し情報漏えい、海外で炎上事案大量発生(The Register)

  10. 患者5名の個人情報が記録されたUSBメモリを紛失(小諸高原病院)

    患者5名の個人情報が記録されたUSBメモリを紛失(小諸高原病院)

ランキングをもっと見る