WPML 4.5.14 – セキュリティの改善

軽微なセキュリティ改善を含むWPML 4.5.14をリリースしました。

数週間前、WPMLに関連するセキュリティ通知についての報告を受けました。この通知はPleskコントロールパネルでのみ表示され、問題を「クロスサイトリクエストフォージェリ（CSRF）の脆弱性」と説明しています。ご報告いただいた皆様に感謝いたします。

更新：WPML 4.5.14のリリース後、Pleskでの関連するセキュリティ通知が正常に修正されたという報告をクライアントから受けています。

この脆弱性が発生する条件

この問題が悪用される可能性は極めて低く、非常に限定的な状況下でのみ発生します。

• 管理者権限を持つユーザーが、同じブラウザセッション/Cookieを使用して外部サイトからの悪意のあるリンクをクリックする

…かつ、以下のいずれかに該当する場合です。

• 攻撃者が使用するドメインとのオリジン間リソース共有（CORS）を許可するようにサーバーが明示的に設定されている
• 影響を受けるユーザーが、CORS設定を無視するブラウザ、またはクロスオリジンポリシーなしでリクエストのCookie情報を渡すブラウザを使用している

私たちの知る限り、実際にサイトをこのように設定した人はおらず、この問題の影響を受けた人もいません。

現在WPML 4.5.14がリリースされており、この問題は解決されています。

セキュリティ報告の重要性

私たちはセキュリティ報告の重要性を認識しており、通常は即座に対応しています。今回はWordPress 6.1に関連する問題の対応に追われていたため、通常よりも対応に少し時間がかかりました。

現在ワークフローの改善を進めており、いかなる小さなセキュリティ報告であっても即座に調査し、修正してリリースできるようにしています。

WPML 4.5.14へのアップデート方法

このリリースは段階的に展開されています。今すぐ取得したい場合は、手動でアップデートを確認できます。これを行うには、プラグイン → 新規追加に移動し、商用タブをクリックします。次に、更新を確認をクリックします。

WPMLアカウントから直接ダウンロードすることもできます。

ご意見やフィードバック

このリリースに関するご意見を以下のコメント欄でお知らせください。返信いたします。