「WordPress 7.1.4」などがリリース ─ コア更新中のリモートコード実行問題などを修正

　WordPress development teamは10月28日(現地時間)、オープンソースのコンテンツ管理システム「WordPress 7.1.4」をリリースした。

　「WordPress 7.1.4」は、複数の脆弱性に対応したセキュリティリリース。コアの更新処理における競合状態によって、更新中にリモートコード実行へつながる可能性がある問題のほか、ブロックやInteractivity API、Customizerなどに存在する複数の保存型クロスサイトスクリプティング(XSS)問題が修正された。

　「WordPress 7.1.4」の主な修正点は次の通り。
〇コア更新時の競合状態によってリモートコード実行へつながる問題を修正
〇個人データ消去リクエスト画面におけるEditor以上の権限を利用した保存型XSSを修正
〇ブロック区切り内の空白を利用したContributor以上の権限による保存型XSSを修正
〇未公開のCustomizer変更セットを未認証の利用者が発見できる情報漏えいを修正
〇マルチサイトのネットワークユーザー画面におけるユーザー名の出力処理を強化
〇投稿を編集できない権限でも、その投稿に付けられたノートを操作できる問題を修正
〇Interactivity APIから管理画面を読み込める問題を修正
〇Interactivity APIのJavaScript URLやイベントハンドラーを利用した保存型XSSを修正
〇Customizerの選択的リフレッシュ機能における保存型XSSを修正
〇コメントページ送りや投稿ナビゲーションブロックのラベルを利用した保存型XSSを修正
〇カテゴリー、画像、プレイリストの各ブロックに関するXSS対策を強化
〇投稿内容によって同一IDのScript Moduleデータが置き換えられる問題を修正
〇失効したeMudhra証明書に対応して同梱ルート証明書を更新
など。

　特に重要度が高いのは、WordPressコアの更新処理に存在した競合状態で、更新処理が行われている時間帯にリモートコード実行へつながる可能性があるという。

　保存型XSSについては、ContributorやEditor以上の権限を持つ利用者が関係する問題が複数含まれる。複数の投稿者が参加するサイトや、外部ユーザへ投稿権限を付与している環境では、早急な更新が求められる。

　同日には旧系列向けとして、WordPress 7.0.8、6.9.11、6.8.12なども公開され、4.7系列には4.7.39が提供された。ただし、開発チームは、積極的に保守され安全に利用できる版は最新の7.1系列のみとしている。旧系列の修正版を適用した場合も、テーマやプラグインとの互換性を確認したうえで7.1系列への移行を検討する必要がある。

(川原 龍人/びぎねっと)

[関連リンク]
リリースアナウンス(7.1.4)