CVE-2019-20173：Auth0 wp-auth0向けWordPress Pluginのセキュリティ更新

CVE-2019-20173：Auth0向けWordPress Pluginのセキュリティ更新

公開日 ：2020年1月31日

CVE番号 ：CVE-2019-20173

著者 ：Muhamad Visat

​

概要

Auth0の3.11.0、3.11.1、および3.11.2バージョンのWordPress Pluginでは、wleクエリパラメーターを適切にサニタイズしません。このため、攻撃者はログインページにクロスサイトスクリプティング（XSS）攻撃を仕掛けることが可能になります。

​

自分は影響を受けますか？

以下の条件がすべて当てはまる場合、この脆弱性によって影響を受けることになります。

• 使用しているWordPress PluginのAuth0のバージョンが3.11.0、3.11.1または3.11.2である

• ［Basic settings（基本設定）］の下にある「Original Login Form on wp-login.php」設定が、以下の2つオプションのいずれかに設定されている。

  • ［Via a link under the Auth0 form（Auth0フォームの下のリンク経由）］（デフォルトオプション）
  • ［When “wle” query parameter is present（“wle”クエリパラメーターがあるとき）］

​

修正方法

Auth0のWordPress Pluginを使用している開発者は、3.11.3以降のバージョンにアップグレードする必要があります。

​

この更新はユーザーに影響を与えますか？

いいえ。この修正によりアプリケーションが実行するライブラリーにパッチが適用されますが、ユーザーとその現在のステータス、既存のセッションには影響はありません。