WordPressのプラグイン(The All in One SEO)に脆弱性

2021年6月3日2022年2月4日WordPress

WordPressのプラグインのセキュリティで重要な発表がありました。
公式発表によればWordPressのプラグイン「The All in One SEO 」4.1.0.2以前のバージョンで脆弱性が見つかったようです。

「The All in One SEO 」4.1.0.2以前のバージョンで発覚

4月27日に4.1.0.2がリリースされました。

Updated: UI enhancements for Redirection Manager

Updated: Added support for searching for posts by slug when adding a redirect

Updated: Timestamps for redirect/404 hits are now localized to user’s timezone

Updated: Added more caching for title/description

Updated: Added some security hardening recommended by Vincent Michel

Fixed: Redirect tables and Local SEO posts/terms not dropped when plugin is uninstalled

Fixed: Hide server exports when using PHP redirects

Fixed: All Posts/Pages screens time out when user has high post display count

Fixed: Conflicting REST API header

Fixed: Deleting redirect in paginated results refreshes back to first page

Fixed: Plugin sends requests to Semrush after user denied authorization

Fixed: Incorrect “plugin is already on the latest version” notice when bulk updating plugins

https://aioseo.com/changelog/

どのような危険があるのか？

権限を持つユーザーが、細工したプラグインのバックアップファイルをアップロードすることにより、
ホストで任意のコードを実行することが可能となる脆弱性です。

おわりに

この記事を読み終えたら、すぐにダッシュボードで最新版か確認してください。
4.1.0.2以前の場合は直ちにアップデートしてください。

参考記事

https://nvd.nist.gov/vuln/detail/CVE-2021-24307
https://aioseo.com/changelog/