WordPressプラグイン「FV Flowplayer Video Player」にXSS・SQLインジェクション・CSVエクスポートの脆弱性が発見

脆弱性を抱えるWordPressプラグインのリストに、また新たなプラグインが加わりました。投稿やページにFLVやMP4動画を埋め込むための無料プラグイン「FV Flowplayer Video Player」において、XSS(クロスサイトスクリプティング)、SQLインジェクション、CSVエクスポートに関わる脆弱性が発見されたのです。

現在40,000以上のウェブサイトにインストールされているこのプラグインは、脆弱性が報告されてからわずか4日前に更新されました。バージョン7.3.14.727より前のバージョンは、これらの攻撃に対して脆弱である点に注意が必要です。

FV Flowplayer Video Player のSQLインジェクション(SQLi)脆弱性

このFV Flowplayerの深刻なSQLi脆弱性により、認証されていない攻撃者でも悪意のあるJavaScriptコードを注入できる可能性があります。

問題となるのは、wp_ajax_nopriv_fv_wp_flowplayer_email_signupというAjaxフックです。このスクリプト内の「email」パラメータは、メールアドレス欄に入力されたあらゆる値をそのまま受け入れ、そのデータが機密性の高いメールデータベースへと送信されてしまいます。

WordPressにおけるSQLi脆弱性の場合、以下のような兆候が見られたら、ウェブサイトが侵害されている可能性があります。

• 心当たりのない管理者ユーザーが追加されている
• 管理者ユーザーのパスワードが突然機能しなくなった
• ハッカーからデータベースのスクリーンショット付きのメールが届いた
• Authorize.netのトークンが漏洩している
• ウェブサイトが改ざんされている

FV Flowplayer Video Player のXSS(クロスサイトスクリプティング)脆弱性

こうして注入された悪意あるコードは、今度は管理者のウェブブラウザ上で実行されます。

前述のとおり、悪意のある入力値はサニタイズ(無害化)されることなく、メールエクスポート画面にまで到達します。その結果、持続型(Stored)クロスサイトスクリプティング攻撃につながる可能性があり、被害は甚大になりかねません。

この脆弱性では、ユーザーが「email」POSTパラメータに入力した内容が、検証なしでそのまま保存されてしまいます。

XSS脆弱性は非常に深刻で、悪用されればWordPressサイトに重大な損害をもたらす可能性があります。以下は、XSS脆弱性から発生しうる攻撃の一例です。サイト侵害の兆候としても捉えられます。

• 別のサイトへの強制リダイレクト
• 悪意のあるポップアップの表示
• WooCommerceのクレジットカード情報の窃取
• サイト上への悪意あるGoogle広告の掲載
• サイトのユーザー名・パスワードの漏洩

FV Flowplayer Video Player のCSVエクスポート脆弱性

FV Playerで新たに明らかになったもう一つの脆弱性が「CSVエクスポート脆弱性」です。この脆弱性により、ゲストユーザー(未ログインユーザー)でも購読者リストをダウンロードできてしまいます。これは重大なプライバシー侵害であり、流出したデータがさまざまな形で悪用され、WordPressサイトへの攻撃に利用される恐れがあるため、特に危険です。

安全のための対策

脆弱性を放置すれば、深刻なサイバー攻撃につながりかねません。大切なウェブサイトを危険から守るためにも、まずはプラグインの更新が最善の対策となります。さらに、以下の対策も併せて検討しましょう。

最新バージョンへの更新

FV Flowplayer Video Playerは、修正済みの最新バージョン7.3.15.727をリリースしています。プラグインをこのバージョンに更新することで、リスクを大幅に軽減できます。

Astra WordPressセキュリティスイートの導入

WordPress向けに特化した「Astra Website Security」は、Webアプリケーションファイアウォール(WAF)を提供し、XSS、SQLi、CSVエクスポート、悪質なボットなど100種類以上の攻撃からサイトを守ります。さらに、Astraのマルウェアスキャナーは初回スキャンを10分以内、2回目以降のスキャンは3分以内で完了する高速性も魅力です。

今すぐAstraのデモをお試しいただくか、チャットでお気軽にお問い合わせください。喜んでサポートいたします。