WordPress Social Warfare Plugin のクロスサイトスクリプティングの脆弱性（CVE-2019-9978）

何が起きた

WordPress のプラグイン Social Warfare に、設定の値を通じて悪いスクリプトを保存させられる弱点（保存型のクロスサイトスクリプティング）が見つかりました。NVD の説明では、2019年3月に実際の攻撃で悪用されたとされ、CISA も悪用を確認しています。NVD の評価では、ログインしていない攻撃者がネットワーク経由で悪用できますが、被害者がページを見るなどの操作が必要です。CISA によると、この弱点はリモートコード実行（離れた場所からプログラムを動かすこと）につながります。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Social Warfare と Social Warfare Pro を WordPress のサイトで使っている管理者が対象です。NVD の説明では、3.5.3 より前の版が影響を受けます。

何をすればいい

Social Warfare を 3.5.3 以降に更新してください。プラグインの更新履歴では、3.5.3 は 3.5.x 向けの緊急のセキュリティ修正として出されています。あわせてメーカーの公式の案内を確認し、Social Warfare Pro を使っている場合も更新されているか確かめてください。

やることチェックリスト

• Social Warfare の版を確認する
• Social Warfare を 3.5.3 以降に更新する
• Social Warfare Pro も同じく更新する

用語メモ

プラグイン

WordPress などのソフトに後から機能を足すための追加部品です。

保存型のクロスサイトスクリプティング

攻撃者が送り込んだスクリプトがサイトに保存され、ページを見た人のブラウザーで動いてしまう弱点です。

リモートコード実行

離れた場所から、攻撃者が選んだプログラムを相手の機器で動かせてしまうことです。