バギーワードプレスプラグインは、ユーザーがウェブサイト全体をワイプすることを可能にします
WordPressのセキュリティに焦点を当てたプラグインであるWordfenceのセキュリティ研究者は、パブリッシングプラットフォームの別のプラグインに重大なバグを発見しました。この問題はWordpress用のHashThemesDemo Importerアドオンで発見されており、問題の重大度は非常に高いです。
HashThemes Demo Importerプラグインの障害により、WordPressプラットフォームにログインし、Webサイトのバックエンドにアクセスできるユーザーは、ページ、記事、メディアを含むすべてのコンテンツ、およびサイトで使用されるデータベースのコンテンツを完全に消去できました。統計によると、バグが発見されたとき、約8000のWebサイトでプラグインがアクティブでした。
デモインポータープラグインの本来の目的は、WordPressベースのサイト管理者がシングルクリックでWordPressのビジュアルテーマとデザインのデモをインポートできるようにすることです。プラグインはプレビュープロセスを大幅に高速化し、使用するサイトやテーマに固有のさまざまな設定ファイルを手動で処理する必要がありません。
Wordfenceのチームは、適切なプロトコルに従ってバグを開示しましたが、デモインポーター開発者は何週間も応答しませんでした。最後に、研究者は問題をWordPressプラグインチームに直接持ち込み、プラグインの障害のあるバージョンは同じ日に削除されました。 4日後、パッチが適用され修正されたバージョンが元に戻されました。
Wordfenceは、プラグインの問題はAjaxの使用方法にあると説明しました。このバグにより、ログインしたすべてのユーザーは、デフォルトの権限とサブスクライバーなどのアクセスが非常に制限されている場合でも、プラグインを実行しているサイトのすべてのコンテンツを完全に消去するなど、Webサイトに大幅な変更を加えることができました。
ここでの簡単なポイントは、既存のWordPressセットアップに追加する可能性のあるすべての便利なプラグインが、攻撃の可能性のある表面を増やすことです。より豊富な機能と使いやすさは、必ずしもセキュリティを犠牲にする必要はありませんが、サードパーティのプラグインを使用すると、いくつかの亀裂が存在し、目に見えない場所に隠れている可能性が常にあります。
