30,000以上のオンラインストアで使用されているWordPress電子商取引プラグインに重大な脆弱性が発見

30,000 以上の Web サイトにインストールされている WordPress の「Abandoned Cart Lite for WooCommerce」プラグインに重大なセキュリティ脆弱性があることが報告されています。 Defiant の Wordfence の勧告によると、この脆弱性により、攻撃者はカートを放棄したユーザーのアカウントにアクセスできるようになります。この脆弱性の重大度は CVE-2023-2986 として追跡され、CVSS スコアリングシステムでは 10 点中 9.8 と評価されています。これは、バージョン 5.14.2 以前を含む、プラグインのすべてのバージョンに影響します。

この問題は、不適切な暗号化保護による認証バイパスが原因で発生します。電子商取引サイトでショッピングカートを放棄したことが顧客に通知される場合、使用される暗号化キーはプラグインにハードコードされています。これにより、悪意のある攻撃者がカートを放棄したユーザーとしてログインすることが可能になります。セキュリティ研究者の István Marton 氏は、認証バイパスの脆弱性を悪用して管理者または上位レベルのユーザーアカウントにアクセスする可能性があると述べています。

6月初旬に脆弱性がパッチされる

プラグイン開発者の Tyche Softwares は、2023 年 6 月 6 日にバージョン 5.15.0 でこの脆弱性に対処し、現在のバージョンは 5.15.2 です。この脆弱性の公開は、StylemixThemes による「Booking Calendar | Appointment Booking | BookIt」プラグインにおける別の認証バイパスの欠陥が Wordfence によって明らかにされたのと同時に発生しました。この欠陥は、CVSS スコア 9.8 の CVE-2023-2834 として追跡されており、10,000 を超える WordPress インストールに影響を与えます。これは、予約プロセス中の検証が不十分なために発生し、認証されていない攻撃者がユーザーの電子メールにアクセスできる場合、既存のユーザーとしてログインできるようになります。この問題は、2023 年 6 月 13 日にリリースされたバージョン 2.3.8 で解決されましたが、バージョン 2.3.7 以前は影響を受けます。

WordPress プラグインが頻繁にハッカーの標的になるのはなぜですか?

WordPress プラグインは、いくつかの理由からハッカーの標的になることがよくあります。

人気と幅広い使用率: WordPress は世界中で最も人気のあるコンテンツ管理システム (CMS) の 1 つであり、インターネット上の Web サイトのかなりの部分で利用されています。 WordPress は広範囲に使用されているため、ハッカーにとって魅力的な標的となっています。プラグインは WordPress Web サイトの機能を強化するため、Web サイト所有者に広く採用されています。攻撃者は、人気のあるプラグインをターゲットにすると、多数の Web サイトが侵害される可能性があることを知っています。

脆弱性とセキュリティの問題:他のソフトウェアと同様、WordPress プラグインにも脆弱性やセキュリティ上の弱点がある可能性があります。これらの脆弱性はハッカーによって悪用され、不正アクセスを取得したり、悪意のあるコードを挿入したり、その他の悪意のある活動を実行したりする可能性があります。プラグインにはコーディングエラー、不十分な検証チェック、または攻撃を受けやすくする不適切なセキュリティ対策が存在する可能性があります。

更新とメンテナンスの欠如:ウェブサイト所有者の中には、WordPress プラグインを最新の状態に保つことを怠ったり、適切にメンテナンスを怠ったりする場合があります。古いプラグインには、ハッカーが悪用できる既知の脆弱性がある可能性があります。さらに、開発者によるメンテナンスやサポートが終了したプラグインは、タイムリーなセキュリティパッチを受け取らない可能性があり、攻撃に対して脆弱なままになる可能性があります。

サードパーティのプラグイン開発者: WordPress プラグインは、さまざまなレベルのセキュリティ専門知識を持つサードパーティの開発者によって開発されることがよくあります。多くの開発者はセキュリティを優先しますが、堅牢なセキュリティ対策を実装するために必要な知識やリソースを持たない開発者もいるかもしれません。ハッカーは、セキュリティ意識の低い開発者が開発したプラグインをターゲットにして、コードの弱点を悪用します。

バックドアエントリ:プラグインは、攻撃者が WordPress Web サイトにアクセスするためのバックドアエントリポイントとして機能する可能性があります。プラグインを侵害することで、ハッカーはセキュリティ対策を回避し、Web サイト全体を制御することができます。侵入すると、コンテンツを操作したり、機密情報を盗んだり、その他の悪意のある活動を実行したりする可能性があります。

WordPress プラグインに関連するリスクを軽減するには、Web サイト所有者が次のようなベストプラクティスに従うことが重要です。