- 2015年6月29日
- WordPress脆弱性情報
5万アクティブインストール、 Nextend Facebook Connectプラグインに脆弱性
WordPressのプラグイン、 Nextend Facebook Connectに脆弱性が報告されています。
JVNDB-2015-003262
WordPress 用 Nextend Facebook Connect プラグインの nextend-facebook-connect.php におけるクロスサイトスクリプティングの脆弱性
このプラグインは、フェイスブック認証機能をサイトに付与するプラグインです。特徴として、自由度の高いデザインやサポートが受けられるなどがありますが、これでなくてはいけない、というものではなさそうです。
とはいえ、それなりに多くのサイトに使われており、任意のwebスクリプト、もしくはHTMLの挿入がクロスサイトスクリプティングにより可能という状況は放置できるものではありません。
場合によってはフェイスブック認証後、都合の良いサイトに流されてしまうという改ざんをなされてしまう可能性があります。
対策はすでにベンダーから発表されており、6・29時点での最新バージョンは1.5.6となります。
管理者でFacebook認証を用いているサイトは注意が必要です。