Jetpack – WP Security, Backup, Speed, & Growth に脆弱性 — WF-f72c0a27-9602-4465-a14a-15c2a34e578b
いま何をすべきか
Jetpack – WP Security, Backup, Speed, & Growth を 16.1.3 以降に更新してください。
影響を受けるバージョン
- 3.2以上 〜 16.1.2以下
対象: プラグイン「Jetpack – WP Security, Backup, Speed, & Growth」（jetpack）
何が起きるのか
The Jetpack – WP Security, Backup, Speed, & Growth plugin for WordPress is vulnerable to Missing Authorization in versions 3.2 through 16.1.2 via the WPCOM JSON API media upload and update endpoints. Early releases accepted the destination as post_ID, while later releases used parent_id; both values were written to an attachment’s post_parent without checking whether the caller could edit the destination post. Authorization was limited to upload_files and, in later update implementations, permission to edit the media item itself. This makes it possible for authenticated attackers with an account linked to the Jetpack connection and the upload_files capability, which is Author and above by default, to attach an arbitrary media item to a post they do not own. Where the target post uses a bare [gallery] shortcode or a theme that calls get_attached_media()/get_children(), the attacker's media then renders inside the victim's post. The endpoints are reached only through the WordPress.com HMAC-signed jetpack.jsonAPI XML-RPC proxy, not via a /wp-json route.
ここから先の選択肢
1. 自分たちで対応する
更新の手順、バックアップの取り方、壊れたときの戻し方をまとめています。
2. いまの制作会社・保守業者に頼む
Jetpack – WP Security, Backup, Speed, & Growth を使っているかどうかを含めて確認を依頼してください。 無料診断を実行すると、そのまま渡せる依頼文を作れます。
3. 相談先がない・自分では難しい
連絡が取れる相手がいない、管理画面に入れない、侵入された疑いがある。 そうした場合はご相談ください。