5万アクティブインストール、 Nextend Facebook Connectプラグインに脆弱性

WordPressのプラグイン、 Nextend Facebook Connectに脆弱性が報告されています。

JVNDB-2015-003262
WordPress 用 Nextend Facebook Connect プラグインの nextend-facebook-connect.php におけるクロスサイトスクリプティングの脆弱性

 

このプラグインは、フェイスブック認証機能をサイトに付与するプラグインです。特徴として、自由度の高いデザインやサポートが受けられるなどがありますが、これでなくてはいけない、というものではなさそうです。

とはいえ、それなりに多くのサイトに使われており、任意のwebスクリプト、もしくはHTMLの挿入がクロスサイトスクリプティングにより可能という状況は放置できるものではありません。

場合によってはフェイスブック認証後、都合の良いサイトに流されてしまうという改ざんをなされてしまう可能性があります。

 

対策はすでにベンダーから発表されており、6・29時点での最新バージョンは1.5.6となります。

管理者でFacebook認証を用いているサイトは注意が必要です。

 

【お知らせ】

弊社レオンテクノロジーにて、WEBセキュリティについてのセミナーを実施いたします。最新のセキュリティ攻撃の事情に着目し、セキュリティインシデントの例や、実際にどのように攻撃が行われているのかを実演し、対策方法についてご紹介いたします。

・Webアプリケーション対策をご検討の方
・Webアプリケーションについての対策を行っていない方
・最新の情報セキュリティに興味のある方
・情報セキュリティ担当を初めてされる方
以上の方、そうでない方もぜひ足を運んでみてください。

LINEで送る
Pocket

こんな記事も読まれています