WordPressでサイトを構築した後は、サイトのセキュリティに注意を払う必要があります。すべてのテーマ、プラグイン、およびWordPressのバージョンを最新に保つことは、最も重要な項目の一つです。以下に、2月に報告されたWordPress関連の脆弱性リストをまとめます。
WordPressコアの脆弱性
公開されているWordPressコアの脆弱性はありません。
WordPressプラグインの脆弱性
今月これまでに、いくつかの新しいWordPressプラグインの脆弱性が発見されています。以下の推奨アクションに従って、プラグインを更新するか、完全にアンインストールしてください。
1. Ninja Forms
Ninja Formsバージョン3.4.22.1以前には、複数の認証済み格納型クロスサイトスクリプティング（XSS）の脆弱性があります。この脆弱性は修正済みです。バージョン3.4.23に更新してください。
2. ThemeGrill Demo Importer
ThemeGrill Demo Importer 1.6.1以前には、認証されていないユーザーがデータベース全体を消去できる脆弱性があります。この脆弱性は修正済みです。バージョン1.6.2に更新してください。
3. SAML SP Single Sign On
SAML SP Single Sign On 4.8.83以前は、クロスサイトスクリプティング攻撃に対して脆弱です。この脆弱性は修正済みです。バージョン4.8.84に更新してください。
4. wpCentral
wpCentral 1.5.1以前には、„権限昇格制御アクセスエラー“の脆弱性があります。この脆弱性は修正済みです。バージョン1.5.2に更新してください。
5. ThemeREX Addons
ThemeREX Addonsバージョン1.6.50以前には、リモートで悪用可能な„リモートコード実行“の脆弱性があります。パッチがリリースされるまで、このプラグインを削除してください。
6. Modula Image Gallery
Modula Image Gallery 2.2.4以前には、認証済み格納型クロスサイトスクリプティングの脆弱性があります。この脆弱性は修正済みです。バージョン2.2.5に更新してください。
7. Duplicator
Duplicator 1.3.26以前には、認証を必要としない任意ファイルダウンロードの脆弱性があります。この脆弱性は修正済みです。バージョン1.3.28に更新してください。
8. Chained Quiz
Kiboko Labs製 Chained Quiz 1.1.9以前には、„認証済み格納型クロスサイトスクリプティング“の脆弱性があります。この脆弱性は修正済みです。バージョン1.1.9.1に更新してください。
9. RegistrationMagic
RegistrationMagic 4.6.0.1以前には、複数の„クロスサイトスクリプティング“脆弱性と1つの„認証済みSQLインジェクション“脆弱性があります。脆弱性は修正済みです。バージョン4.6.0.3に更新してください。
10. Ultimate Membership Pro
Ultimate Membership Pro バージョン8.7以前には、クロスサイトスクリプティングとクロスサイトリクエストフォージェリの脆弱性があります。この脆弱性は修正済みです。バージョン8.7に更新してください。
11. Photo Gallery by 10Web
Photo Galleryバージョン1.5.45以前には、複数のクロスサイトスクリプティング脆弱性があります。この脆弱性は修正済みです。バージョン1.5.46に更新してください。
12. Envira Photo Gallery
Envira Photo Gallery バージョン1.7.6およびそれ以前のバージョンには、„認証済みストレージクロスサイトスクリプティング“の脆弱性があります。この脆弱性は修正済みですので、バージョン1.6.2に更新する必要があります。
13. iThemes Sync Pro
iThemes Sync Pro 2.1.3およびそれ以前のバージョンでは、認証リクエストにnonceが欠落しています。この脆弱性は修正済みですので、バージョン2.1.3に更新する必要があります。
WordPressテーマ
1. Fruitful
Fruitful テーマのバージョン3.8およびそれ以前のバージョンは、認証不要の反射型クロスサイトスクリプティング攻撃に対して脆弱です。テーマを削除してください。この脆弱性は報告されましたが、テーマ開発者からの返答はありませんでした。
WordPressテーマとプラグインの脆弱性に積極的に対処する方法
古いソフトウェアの実行は、WordPressサイトがハッキングされる第一の原因です。更新ルーチンを確立することは、WordPressサイトのセキュリティにとって極めて重要です。少なくとも週に1回はサイトにログインして更新を実行すべきです。
自動更新は役立ちます
頻繁に変更されないWordPressサイトの場合、自動更新は良い選択肢です。注意を払わないと、これらのサイトは見過ごされ、攻撃に対して脆弱になることがよくあります。推奨されるセキュリティ設定を使用していても、サイト上で脆弱なソフトウェアを実行していると、攻撃者がサイトに侵入する可能性があります。
関連トピック：
本記事は転載元：WP大学