CSRF &XSS の脆弱性 WP メンテナンス プラグインのバージョン =5.0.5

WP メンテナンス プラグインは、CSRF およびストアド XSS に対して脆弱であることが判明しました。 11 月 15 日、WordFence は WP メンテナンス プラグインの開発者に脆弱性を報告しました。その後、プラグイン開発者 (Florent Malliefaud) はわずか 1 日で脆弱性に緊急パッチを適用しました。

バージョン 5.0.6 には脆弱性がありません。プラグインを以前のバージョンからこれに更新することをお勧めします。

WPメンテナンスプラグインについて

その名前が示すように、WP メンテナンス プラグインを使用すると、Web サイトをメンテナンス モードにすることができます。また、Web サイトのメンテナンス ページを広範囲にカスタマイズすることもできます。

これは、WP メンテナンス プラグインが WordPress リポジトリでどのように見えるかです。

ご覧のとおり、このプラグインのアクティブなインストール数は 30,000 以上あります。その機能には、メンテナンス ページのカスタム テキスト、ロゴ、画像、CSS などが含まれます。サイトのメンテナンス ページにカウントダウン タイマーを挿入することもできます。

脆弱性の詳細

WordFence によると、この脆弱性により、攻撃者は Web サイトをメンテナンス モードにし、Web サイトに悪意のあるコードを挿入することができます。主に、プラグインのカスタマイズ機能に欠陥があります。カスタマイズ設定は、設定を更新する前にユーザーの nonce キーをチェックしません。これは深刻な CSRF 攻撃につながる可能性があります。

また、設定入力フィールドで適切なコード サニテーションが行われていないため、ハッカーが Web サイトに危険なコードを挿入することができます。

より多くの技術は次のセクションにあります。

技術的な詳細

WP のメンテナンスにより、多数のカスタマイズ機能が容易になります。過度のカスタマイズ機能には、より良い監視が必要であることが判明しました。これには WP のメンテナンスが欠けており、ナンス保護が制限されており、値の入出力サニテーションが制限されていました。これらの見落とされた領域は、クロスサイト リクエスト フォージェリ (CSRF) につながりました。 CSRF はその後、WP メンテナンスでクロスサイト スクリプティング (XSS) の脆弱性を引き起こしました。

このコードを見てください:

ここで update_general AJAX 関数は nonce トークンを検証しないため、CSRF に対して脆弱なままになります。また、 update_option() &wpm_update_settings() 関数には入力サニタイズがありません。これにより、許可されていないユーザー/攻撃者が悪意のあるスクリプトを格納された XSS として挿入する可能性があり、これが呼び出されると、サイトでリダイレクト、クリプト マイニング、データ盗用などを引き起こす可能性があります。

全体として、プラグインのすべての設定は CSRF と XSS に対して脆弱でした。

WP メンテナンスの [一般設定] ウィンドウには、2 つの入力フィールドがあります。タイトルとテキスト フィールド。

検証とサニタイズに欠陥があるため、悪意のあるコードは解析をスキップし、保存された XSS 脆弱性として保存されます。 WP メンテナンスの「ニュースレターを有効にする」フィールドの次の例を参照してください:

コードはサニタイズに合格し、実行されます。

リスクを軽減するための更新

リスクを軽減するには、プラグインを最新バージョン (5.0.6) に更新するだけです。

また、不適切なセキュリティ メンテナンスは、多くの WordPress プラグインで依然として深刻な問題です。 Web サイトのセキュリティを確保するための最善の方法は、選択肢を狭めることです。 WP のメンテナンスでは脆弱性へのパッチ適用が迅速でしたが、多くのプラグインではそうではありません。

アクティブなサポートおよび開発チームを持つプラグインのみをダウンロードしてください。これは、プラグインのレビューをチェックするか、フォーラムで探すことで知ることができます。

Astra Security at Help

安全なプラグインを使用することは役に立ちますが、プラグインのセキュリティに依存するよりもさらに効果的な方法を知っていますか?独自の専用セキュリティ システムを持つ。

Astra security は、WordPress Web サイトの完全なセキュリティ スイートです。 Astra が Web サイトのセキュリティを管理している間は、ゆっくりとくつろぐことができます。 Web アプリケーション ファイアウォール、マルウェア スキャナー、マルウェアのクリーンアップ、セキュリティ監査など、Web サイト用の多数の機能を提供します。ここでレビューを確認できます。

Astra のデモをご覧になり、ご自身でご確認ください。

下のコメント ボックスに秘密の質問を入力してください。必ずお答えします 🙂

または、こちらのチャットでセキュリティの専門家と連絡を取ることもできます。