WordPressのユーザー一覧がREST APIで未認証でも取得可能だった問題

ティアA · 今日中にパッチ – 帰る前に対応

影響を受ける人：未認証で取得可能な標準REST APIを持つWordPressサイト

ティアAの理由：基幹インフラまたは人気ツールかつシークレットの流出

影響範囲

攻撃

被害

修正

人気ツール · 認証不要のリモート攻撃 · シークレットの流出

取るべき対応

要点

WordPressの標準REST APIである/wp-json/wp/v2/usersから、ログインしていなくてもユーザー一覧を取得できる状態だったと報告されている
取得できるのはログイン名の手がかりとなる情報で、筆者は自身のサイトでこの状態を確認したという
記事では修正方法や対応状況は示されていない

ログイン名が第三者に把握されると、パスワードの総当たり攻撃などの足がかりになりうるため、自分のWordPressサイトで未認証のユーザー一覧取得が防がれているかを確認する必要がある。

チェックリスト · 10項目中4項目が「はい」

はい	開発者に影響	WordPressは開発者や運用チームが運用するCMSであるため、影響対象に該当する。
いいえ	基幹インフラ	WordPressは単一のCMSであり、ほぼすべてのチームが運用する基幹インフラソフトウェアではない。
はい	人気ツール	WordPressは世界的に広く使われるCMSであり、多くのサイトが採用している。
いいえ	悪用確認済み	Qiita: 筆者が自サイトで点検して発見した内容であり、実際の攻撃が観測されたとの記述はない。
いいえ	公開エクスプロイト	Qiita: 標準REST APIのエンドポイントを示すのみで、エクスプロイトコードは公開されていない。
はい	認証不要のリモート攻撃	Qiita: ログインしていない人でも/wp-json/wp/v2/usersからユーザー一覧を取得できると報じている。
いいえ	完全な乗っ取り	Qiita: ユーザー一覧の取得という情報露出であり、コード実行や権限奪取は報じられていない。
はい	シークレットの流出	Qiita: ログイン名の手がかりが誰でも見える状態になったと報じている。パスワードや鍵は対象外。
いいえ	サプライチェーン	Qiita: 配布経路の侵害やパッケージへの悪意あるコード混入の記述はない。
いいえ	修正なし	Qiita: 修正版の有無やベンダーの対応状況に関する記述はないため、確認できない。

初出：2時間前 · ソース1件 · 記事ページ · ティアの決め方