Defiantは11月25日(米国時間)、「200,000 WordPress Sites Affected by Unauthenticated Critical Vulnerabilities in Anti-Spam by CleanTalk WordPress Plugin」において、WordPressのスパム対策プラグイン「Spam protection, Anti-Spam, FireWall by CleanTalk」に複数のセキュリティ脆弱性が存在すると報じた。

これら脆弱性を悪用されると、認証されていない攻撃者に任意のプラグインをインストールされ、結果的にリモートコード実行(RCE: Remote Code Execution)をされる可能性がある。

  • 200、000 WordPress Sites Affected by Unauthenticated Critical Vulnerabilities in Anti-Spam by CleanTalk WordPress Plugin

    200,000 WordPress Sites Affected by Unauthenticated Critical Vulnerabilities in Anti-Spam by CleanTalk WordPress Plugin

脆弱性の情報

脆弱性に関する情報は次のページにまとまっている。

脆弱性の情報(CVE)は次のとおり。

  • CVE-2024-10542 - リバースDNSスプーフィングによる認証バイパスの脆弱性(CVSSスコア: 9.8)
  • CVE-2024-10781 - 不十分な空の値検証の脆弱性(CVSSスコア: 8.1)

脆弱性が存在する製品

脆弱性が存在する製品およびバージョンは次のとおり。

  • Spam protection, Anti-Spam, FireWall by CleanTalk バージョン6.44およびこれ以前のバージョン

脆弱性が修正された製品

脆弱性が修正された製品およびバージョンは次のとおり。

  • Spam protection, Anti-Spam, FireWall by CleanTalk バージョン6.45

影響と対策

WordPressのスパム対策プラグイン「Spam protection, Anti-Spam, FireWall by CleanTalk」は、20万件以上のWebサイトに利用されている人気のプラグイン。本稿執筆時点において、おおよそ半数が脆弱なバージョンを運用しているとみられる。

  • プラグインのバージョン分布 - 引用：wordpress.org

    プラグインのバージョン分布 　引用：wordpress.org

発見された脆弱性のうち、深刻度の高いものは緊急(Critical)と評価されており注意が必要。当該プラグインを利用しているWordPressサイトの管理者は、速やかにプラグインをアップデートすることが推奨されている。