WordPress用プラグイン「All in One SEO Pack」に情報管理不備の脆弱性

情報処理推進機構(IPA)のセキュリティセンターおよびJPCERTコーディネーションセンター(JPCERT/CC)は3月31日、WordPress用プラグイン「All in One SEO Pack」における情報管理不備の脆弱性に関する情報を、JVN(Japan Vulnerability Notes)において公表した。

All in One SEO Packでは、初期設定で、本文の一部を含むMETAタグをページに追加する機能が有効となっており、WordPressの「パスワード保護」機能で閲覧を制限したページであっても、追加されたMETAタグから、パスワードを知らない第三者によって本文の一部を閲覧される可能性がある。

影響を受けるバージョンは、All in One SEO Pack Version 2.2.5.1およびそれ以前のもの。

同脆弱性の影響を回避するためには、All in One SEO Packの設定画面で「詳細を自動生成」("Autogenerate Descriptions")機能を無効にするか、または開発者が提供する情報をもとに、最新版へのアップデートを実施すればよいとのこと。