WordPress LayerSlider Plugin の脆弱性 CVE-2024-2879 が FIX：CVSS 値は 9.8

Critical Security Flaw Found in Popular LayerSlider WordPress Plugin

2024/04/03 TheHackerNews — WordPress の LayerSlider plugin に、致命的なセキュリティ脆弱性 CVE-2024-2879 (CVSS：9.8) が発見された。この脆弱性は SQL インジェクションと分類されており、7.9.11〜7.10.0 までのバージョンに影響を与える。この脆弱性の悪用に成功した攻撃者は、データベースからパスワード・ハッシュなどの機密情報を抜き取る可能性がある。

この問題は、2024年3月25日に報告され、3月27日にリリースされたバージョン 7.10.1 で対処されている。LayerSlider のリリース・ノートには、「このアップデートには、重要なセキュリティ修正が含まれている」と記されている。

LayerSlider は、Web サイト用のアニメーション／リッチ・コンテンツを作成するための、ビジュアル・ウェブ・コンテンツ・エディター／グラフィック・デザイン・ソフトウェアだ。LayerSlider のサイトによると、同プラグインは、”世界中の何百万人ものユーザー” に使用されているという。

WordPress のセキュリティ会社である Wordfence によると、このプラグインで発見された脆弱性は、ユーザーが提供したパラメーターのエスケープが不十分であり、wpdb::prepare() が存在しないことに起因するという。

この脆弱性は、WP-Members Membership Plugin に、認証されていない蓄積型 XSS (cross-site scripting) 脆弱性 CVE-2024-1852 (CVSS：7.2) が発見され、任意の JavaScript コードの実行を容易にする可能性があることを受けて発見された。こちらの脆弱性は、バージョン 3.4.9.3 で解決されている。

Wordfence は、「この脆弱性は、入力のサニタイズと出力のエスケープが不十分であることに起因している。認証されていない攻撃者による、ページへの任意の Web スクリプトの注入が可能になる。それらのページは、ユーザーの編集ページであり、ユーザーがアクセスするたびに、そのスクリプトが実行される」と、Wordfence は述べている。

また同社は、「管理者のブラウザ・セッションのコンテキストで、コードが実行された場合には、不正なユーザー・アカウントの作成や、悪意のサイトへのリダイレクションなどが行われ、他の攻撃の展開にいたる恐れがある」と付け加えている。

ここ数週間で、Tutor LMS (CVE-2024-1751、CVSS ：8.8) や Contact Form Entries (CVE-2024-2030、CVSS：6.4）といった、他の WordPress プラグインにも、情報漏洩や任意の Web スクリプト注入の脆弱性が発見されている。

文中にもあるように、WordPress プラグインの脆弱性が、とても頻繁に発見されているという状況であり、それが続いています。そもそも、どれほどプラグインの数があるのかも分からないので、確率の高低も分かりません。しかし、最近の傾向を見ていると、インストール数の多い、メジャー・プラグインに脆弱性発生しているようです。よろしければ、WordPress で検索も、ご利用ください。