AutomatorWP <= 5.0.9 - a-0-o-search_field_valueパラメータを介したリフレクト型クロスサイトスクリプティング

このXSS脆弱性を悪用されると、攻撃者はユーザーのブラウザ上で任意のJavaScriptコードを実行できます。これにより、攻撃者はユーザーのセッションCookieを盗み、ユーザーになりすまして機密情報にアクセスしたり、悪意のあるリダイレクトを実行したり、Webサイトの見た目を改ざんしたりすることが可能です。特に、AutomatorWPプラグインのインポート機能やコードアクション機能と組み合わせることで、攻撃の影響範囲が拡大する可能性があります。この脆弱性は、ユーザーが特定のリンクをクリックすることで悪用される可能性があり、フィッシング攻撃やマルウェア感染のリスクを高めます。

Websites using the AutomatorWP plugin, particularly those with user accounts or sensitive data, are at risk. Shared hosting environments where multiple WordPress sites share the same server are also at increased risk, as a compromise of one site could potentially lead to the compromise of others. Users who rely on the plugin's import and code action features are especially vulnerable.

• wordpress / composer / npm:

grep -r 'a-0-o-search_field_value' /var/www/html/wp-content/plugins/automatorwp/

• generic web:

curl -I 'https://your-wordpress-site.com/?a-0-o-search_field_value=<script>alert("XSS")</script>' | grep -i 'script'

1. 2024-12-19Disclosure

   disclosure

1. 予約済み2024-12-13
2. 公開日2024-12-19
3. 更新日2024-12-20
4. EPSS 更新日2026-04-02

AutomatorWPプラグインをバージョン5.1.0以降にアップデートすることが、この脆弱性に対する最も効果的な対策です。アップデートできない場合は、WAF（Web Application Firewall）を導入し、a-0-o-searchfieldvalueパラメータに対する入力検証ルールを追加することで、攻撃を軽減できる可能性があります。また、WordPressのセキュリティプラグインを使用して、XSS攻撃を検知・防御することも有効です。プラグインのアップデート後、WordPressサイトにアクセスし、a-0-o-searchfieldvalueパラメータに悪意のあるスクリプトを注入しようと試み、正常に動作することを確認してください。

アクティブインストール数

8Kニッチ

プラグイン評価

4.8

WordPressが必要

4.4+

動作確認済みバージョン

7.0

PHPが必要

7.0+