Sucuriは9月29日(米国時間)、「WordPress Vulnerability & Patch Roundup September 2022」において、2022年9月に明らかになったWordPressの脆弱性およびセキュリティパッチの情報について伝えた。SucuriはWebサイト所有者に対して新たな脅威を把握して対処してもらうよう、1カ月ごとにWordPressエコシステムの重要なセキュリティアップデートと脆弱性パッチの一覧をまとめて公表している。

  • WordPress Vulnerability & Patch Roundup September 2022

    WordPress Vulnerability & Patch Roundup September 2022

今月は27個の脆弱性とその緩和策が紹介されている。セキュリティリスクが「警告(Medium)」が16、「低(Low)」が11となっている。9月のセキュリティリスクに「緊急(Critical)」および「重要(High)」は報告されていない。しかしながらセキュリティリスクの数はここ数か月増加傾向にあり、2022年9月はWordPressのEコマースプラグインであるWooCommerce周りのプラグインの脆弱性が多くなっているため、注意が必要。

今月の主な脆弱性およびその緩和策は次のとおり。

項目 脆弱性 緩和策
Contact Form by WPForms 未認証の任意のファイルアクセス WPFormsプラグインのバージョンを1.7.5.5以降に更新
WordPress All in One SEO Multiple Cross-Site Request Forgeries All in One SEOプラグインのバージョンを4.2.4以降に更新
WordPress SVG Support 認証済みのStored Cross-Site Scripting（XSS） WordPress SVG Supportプラグインのバージョンを2.5以降に更新
Activity Log CSVインジェクション Activity Logプラグインのバージョンを2.8.4以降に更新
Booster for WooCommerce 注文状況の任意更新 Booster for WooCommerceプラグインのバージョンを5.6.3以降に更新
WordPress SearchWP Live Ajax Search 未認証のLocal File Inclusion（LFI） SearchWP Live Ajax Searchプラグインのバージョンを5.6.3以降に更新
Customer Reviews for WooCommerce 機密情報の開示 Customer Reviews for WooCommerceプラグインのバージョンを5.3.6以降に更新
CallRail Phone Call Tracking 認証済みのStored Cross-Site Scripting（XSS） CallRail Phone Call Trackingプラグインのバージョンを0.4.10以降に更新
wpForo Forum Cross-Site Request Forgery（CSRF） wpForo Forumプラグインのバージョンを2.0.6以降に更新
Advanced Dynamic Pricing for WooCommerce Cross-Site Request Forgery（CSRF） Advanced Dynamic Pricing for WooCommerceプラグインのバージョンを4.1.4以降に更新
Rate my Post: WP Rating System Cross-Site Request Forgery（CSRF） WP Rating Systemプラグインのバージョンを3.3.5以降に更新
Passster パスワードの安全な保管 Passsterプラグインのバージョンを3.5.5.5.2以降に更新
Awesome Support Multiple Authenticated Stored Cross-Site Scripting（XSS） Awesome Supportプラグインのバージョンを6.0.8以降に更新
GetResponse Cross-Site Request Forgery（CSRF）によるAPIキーの更新 GetResponseプラグインのバージョンを5.5.21以降に更新
Pop-up Cross-Site Request Forgery（CSRF）による任意の設定変更 Pop-upプラグインのバージョンを1.1.6以降に更新
Goolytics 認証済みのStored Cross-Site Scripting（XSS） Goolyticsプラグインのバージョンを1.1.2以降に更新

WordPressの脆弱性はサイバー犯罪者に悪用されやすい。Webサイトを運営しているユーザーは、Sucuriのセキュリティ情報の内容を確認するとともに、適切に緩和策の適用やアップデートの適用を実施することが望まれる。