セキュリティファンスコア 65 · ティア A
WordPressのログイン名の手がかりが、/wp-json/wp/v2/users から誰でも見えていた
要点
- WordPressの標準REST APIである/wp-json/wp/v2/usersから、ログインしていなくてもユーザー一覧を取得できる状態だったと報告されている
- 取得できるのはログイン名の手がかりとなる情報で、筆者は自身のサイトでこの状態を確認したという
- 記事では修正方法や対応状況は示されていない
なぜ重要か
ログイン名が第三者に把握されると、パスワードの総当たり攻撃などの足がかりになりうるため、自分のWordPressサイトで未認証のユーザー一覧取得が防がれているかを確認する必要がある。
影響を受ける人
- WordPressを運用している開発者・サイト管理者
取るべき対応
- 未認証の状態で/wp-json/wp/v2/usersにアクセスし、ユーザー情報が返されないか確認する
WordPress のサイトを点検していて、ログインしていない人でも、ユーザーの一覧を取れる状態になっていることに気づきました。標準の REST API の /wp-json/wp/v2/users です。 筆者のサイト（BLST VPN Navi）は、ネットの「見られ...