WordPress用プラグインにXSS脆弱性　最新版へアップデートを

公開 2017年07月04日 14時07分

更新 2017年07月18日 14時55分

[ITmedia]

印刷する Googleで優先するソースとして追加

　独立行政法人情報処理推進機構（IPA）は7月4日、ブログソフトウェア「WordPress（ワードプレス）」用のプラグイン「Responsive Lightbox」に、任意のスクリプトを実行される恐れがある「クロス・サイト・スクリプティング」（XSS）があることを公表した。WordPress運営者に対し、当該プラグインを最新版へアップデートするよう呼び掛けている。

WordPress用のプラグイン「Responsive Lightbox」

　脆弱性があるのは、Responsive Lightboxのバージョン1.7.1以前。7月4日時点で最新版である、バージョン1.7.2で修正されている。

　今回のXSSは「反射型」といい、ユーザーからのリクエストに含まれたスクリプトが、Webアプリケーション上でスクリプトとして実行される恐れがあるというもの。悪意のあるスクリプトをパラメーターとして付加したURLを標的ユーザーに踏ませる――などの攻撃手段がある。スクリプトはアプリサーバに保存されないため、標的ユーザー以外に攻撃の影響はない。

XSSの種類（IPAより）。今回の脆弱性は「反射型」

　WordPressはオープンソースのブログソフトウェア。コンテンツ管理システム（CMS）でもあり、ブログやWebサイトの構築、管理に用いられる。

　Responsive LightboxはWordPress用の画像表示プラグイン。PCやスマートフォン、タブレットなど、画面サイズに応じた表示ができることが特徴。

印刷する

SpecialPR

この記事の著者

井上輝一

2016年3月からITmediaにジョイン。ITmedia Mobile、PC USER、LifeStyle、ヘルスケアで編集・執筆を兼務。2017年4月からITmedia NEWSでの兼務も開始。2019年4月にNEWS専属となる。スマートフォンやPCといったガジェット系の他、理系（神経科学）のバックグラウンドを生かして科学系のネタや、量子コンピュータ、ブロックチェーン、AIなど多岐に渡って取材している。