UpdraftPlus プラグインのセキュリティ・アップデート

UpdraftPlus プラグインにセキュリティ更新があったので、これを使用しているサイトの更新を行いました。更新内容は以下の通りです。

• プラグイン名　UpdraftPlus – Backup/Restore
• 開発元　 UpdraftPlus.Com, DavidAnderson
• 修正済みバージョン　1.23.6
• 危険度　6.1 (Medium)
• 脆弱性　Cross-Site Request Forgery to Cross-Site Scripting via action_authenticate_storage

 解説

クロスサイトリクエストフォージェリ（CSRF）を介したクロスサイトスクリプティング（XSS）攻撃が可能であることを示しています。この脆弱性は、”action_authenticate_storage”というアクションを経由して悪用されます。

脆弱性の概要として、このプラグインにはCSRF対策が不十分であり、攻撃者が特定の操作を実行するようにユーザーを誘導することができます。それによって、ユーザーが認証された状態で意図しないスクリプトを実行する可能性があります。

この攻撃手法では、攻撃者はまず特定の操作（例えば、認証や設定の変更など）を行うためのリクエストを作成します。そして、そのリクエストを誘導されたユーザーが認証済みの状態で実行すると、攻撃者が用意したスクリプトが実行され、XSS攻撃が発生します。これにより、攻撃者はサイトの訪問者に対して悪意のあるスクリプトを実行させることができます。

この脆弱性を修正するためには、プラグインの開発者は適切なCSRF対策を実装する必要があります。

引用　ChatGPT