WordPress用プラグイン「Google XML Sitemaps」にスクリプト実行の脆弱性(JVN) | ScanNetSecurity[国内最大級のサイバーセキュリティ専門ポータルサイト]
2019.08.20(火)

WordPress用プラグイン「Google XML Sitemaps」にスクリプト実行の脆弱性(JVN)

IPAおよびJPCERT/CCは、Arne Brachholdが提供するWordPress用プラグイン「Google XML Sitemaps」にクロスサイトスクリプティングの脆弱性が存在すると「JVN」で発表した。

脆弱性と脅威 セキュリティホール・脆弱性
独立行政法人 情報処理推進機構(IPA)および一般社団法人 JPCERT コーディネーションセンター(JPCERT/CC)は12月25日、Arne Brachholdが提供するWordPress用プラグイン「Google XML Sitemaps」にクロスサイトスクリプティング(XSS)の脆弱性が存在すると「Japan Vulnerability Notes(JVN)」で発表した。CVSS v3によるBase Scoreは4.8。

「Google XML Sitemaps Version 4.0.9 およびそれ以前」には、格納型のXSSの脆弱性(CVE-2018-16204)が存在する。この脆弱性が悪用されると、当該プラグインを使用している WordPress サイトを複数の管理者が共同管理している状況で、悪意を持った管理者が細工した入力を行うことで、他の管理者がプラグイン設定ページにアクセスした際にWebブラウザ上で任意のスクリプトを実行される可能性がある。JVNでは、開発者が提供する情報をもとに最新版へアップデートするよう呼びかけている。

《吉澤 亨史( Kouji Yoshizawa )》

関連記事

PageTop

特集

アクセスランキング

  1. シンガポール子会社に不正アクセス、顧客情報が流出(みずほ銀行)

    シンガポール子会社に不正アクセス、顧客情報が流出(みずほ銀行)

  2. 「BIG-IP」に重大な脆弱性、関連情報を紹介(エフセキュア)

    「BIG-IP」に重大な脆弱性、関連情報を紹介(エフセキュア)

  3. メール誤送信、添付ファイルサイズ制限で「安心一斉送信システム」使用できず(大阪府)

    メール誤送信、添付ファイルサイズ制限で「安心一斉送信システム」使用できず(大阪府)

  4. 毎年アンチウイルスを更新する「攻め」のセキュリティグループはなぜ、CrowdStrike の EDR を選定したか

    毎年アンチウイルスを更新する「攻め」のセキュリティグループはなぜ、CrowdStrike の EDR を選定したかPR

  5. 顧客情報ファイル誤送信、再発防止としてシステム導入決定(ボルボ・カー・ジャパン)

    顧客情報ファイル誤送信、再発防止としてシステム導入決定(ボルボ・カー・ジャパン)

  6. 繁忙期のため管理不徹底「国民健康保険関係届」紛失(大阪市)

    繁忙期のため管理不徹底「国民健康保険関係届」紛失(大阪市)

  7. 6月末からメンテナンス中の「ECオーダー.com」カード情報流出の疑い(チャンピオンソフト、まどそふと、エウクレイア、葉月)

    6月末からメンテナンス中の「ECオーダー.com」カード情報流出の疑い(チャンピオンソフト、まどそふと、エウクレイア、葉月)

  8. 規定違反の医師を戒告処分、患者情報を私物USBメモリに保存し紛失(福知山市)

    規定違反の医師を戒告処分、患者情報を私物USBメモリに保存し紛失(福知山市)

  9. 標的はファイアウォールの内側にあるIoTデバイスへ(NETSCOUT SYSTEMS)

    標的はファイアウォールの内側にあるIoTデバイスへ(NETSCOUT SYSTEMS)

  10. 元教育委員会職員がUSB接続制限の無いPC経由でファイル持ち出し、選挙運動へ活用か(平塚市)

    元教育委員会職員がUSB接続制限の無いPC経由でファイル持ち出し、選挙運動へ活用か(平塚市)

ランキングをもっと見る