セキュリティ研究者らが、WordPress用プラグイン「Funnel Builder」に影響を与える深刻な脆弱性が、現在悪用されていることを発見しました。この脆弱性により、認証されていない攻撃者がWooCommerceのチェックアウトページに悪意のあるJavaScriptスニペットを注入し、機密性の高い顧客データを侵害する可能性があります。 ### 脆弱性の詳細 現在、公式なCVE識別子が存在しないこの脆弱性は、バージョン3.15.0.3より前のすべてのプラグインバージョンに影響します。FunnelKitによって開発されたFunnel Builderは、コンバージョン率の最適化を目指し、ワンクリックアップセルやランディングページなどの機能でチェックアウトページをカスタマイズするために使用される人気のプラグインです。WordPress.orgの統計によると、このプラグインは40,000以上のウェブサイトでアクティブに使用されています。 ### 攻撃ベクトル Sansecがこの悪意のある活動を発見し、注入されたペイロード（analytics-reports[.]com/wss/jquery-lib.js）が偽のGoogle Tag Manager/Google Analyticsスクリプトとして偽装されていると指摘しました。このスクリプトは、外部の場所（wss://protect-wss[.]com/ws）へのWebSocket接続を確立します。 攻撃者は、公開されており保護されていないチェックアウトエンドポイントを通じてプラグインのグローバル設定を変更することで、この脆弱性を悪用します。これにより、プラグインの「外部スクリプト」設定に任意のJavaScriptコードを注入することが可能になり、すべてのチェックアウトページで悪意のあるコードが実行されることになります。 ### データ窃取 Sansecによると、攻撃者によって制御されたサーバーは、以下の情報を窃取するためにカスタマイズされた決済カードスキマーを提供します。 * クレジットカード番号 * CVV * 請求先住所 * その他の顧客情報 窃取された決済カードの詳細は、不正なオンライン購入に使用されたり、ダークウェブのカード市場で販売されたりする可能性があります。 ### 対策 FunnelKitは、最近リリースされたFunnel Builderのバージョン3.15.0.3でこの脆弱性に対処しました。 ベンダーからのセキュリティアドバイザリは、悪意のある活動を確認し、「悪意のあるアクターがスクリプトを注入することを可能にする問題を確認した」と述べています。 ウェブサイトの所有者および管理者は、WordPressダッシュボードを通じてプラグインの最新バージョンにアップデートすることを最優先事項とすることを強く推奨します。さらに、攻撃者によって追加された可能性のある不審または不正なスクリプトがないか、「設定 > チェックアウト > 外部スクリプト」を確認することが重要です。  ## [The Validation Gap: Automated Pentesting Answers One Question. You Need Six.](https://hubs.li/Q048zztN0) 自動化されたペネトレーションテストツールは、実際の価値を提供しますが、それらは1つの質問に答えるために構築されました。攻撃者がネットワーク内を移動できるかどうかです。それらは、制御が脅威をブロックするかどうか、検出ルールが発火するかどうか、またはクラウド構成が保持されるかどうかをテストするために構築されたものではありません。 このガイドでは、実際に検証する必要がある6つのサーフェスについて説明します。 [今すぐダウンロード](https://hubs.li/Q048zztN0)