- SERVICE
Webサイト・CMSの保守管理・運用
- WORKS
- ABOUT US
- NEWS & COLUMN
- RECRUIT
皆さんこんにちは。taneCREATIVEの「ちほうタイガー」です。
この記事は2024年10月10日に執筆しています。
今回はCategory Order and Taxonomy Terms Orderのバージョンと脆弱性への対応状況についてまとめてみたいと思います。
Category Order and Taxonomy Terms Orderは、WordPressのカテゴリーやタクソノミー(分類項目)の順序をドラッグ&ドロップで簡単に変更できるプラグインであり、Nsp Codeによって開発・サポートされています。
WordPressのPlugin Directoryの統計情報によると、アクティブインストールは50万以上、総ダウンロード数は797万回以上を計測しており、人気があるプラグインの一つと言ってよいでしょう。
Web制作会社である当社も、WordPressサイトの制作の際には、よく使用させていただいております。
一方で、人気が高いほど攻撃対象になるリスクもあるため、脆弱性への適切な対応が重要になります。
JVNやNVDには登録されていませんが、実際にCategory Order and Taxonomy Terms Orderの脆弱性は過去見つかっており、Nsp Codeは迅速に対応しています。
この記事では、企業のWeb担当の皆様に向けて、Category Order and Taxonomy Terms Orderの概要並びに、脆弱性及びその対応状況をご紹介することで、Category Order and Taxonomy Terms Order自体については安心して使用していただけるようにしたいと思います。
少しでも皆様のお役に立てる記事にできればと思います。
どうぞよろしくお願い致します。
前述の通り、Category Order and Taxonomy Terms Orderは、Nsp Codeが開発・サポートを継続している、オープンソースのWordPress向けプラグインです。
Category Order and Taxonomy Terms Orderは、WordPressのカテゴリーやタクソノミー(分類項目)の順序をドラッグ&ドロップで簡単に変更できます。
特に大規模なサイトで複数のカテゴリーやタグを管理する際に役立ち、より直感的なコンテンツの整理が可能な点が特長です。
前述のように、人気の高いプラグイン(ダウンロード数が多いプラグイン)は、攻撃のターゲットとして狙われやすいという側面があります。
当社では、WordPress自体は非常に堅牢なCMSであり、バージョンアップをしっかりと行えば大きな侵入のリスクは少ないと考えています。
実際に、WordPress本体(コア)の脆弱性の数はプラグインやテーマに比べて少なく、特に最近では緊急レベルの脆弱性報告は減少しています。
※詳細は、当社が公表しているWordPressの脆弱性情報一覧を参照してください。
一方で、膨大な数のプラグインやアドオンが存在し、それらの脆弱性を狙った攻撃が増加しています。
※「20 WordPress Statistics You Should Know in 2023」によれば、WordPressに関連する脆弱性の約90%はプラグインに、6%はテーマに、残りの4%はWordPressコアに起因しているとのことです。
そのため、Category Order and Taxonomy Terms Orderのように定期的にアップデートされ、脆弱性が迅速に修正されることは、セキュリティ対策の観点から非常に重要です。
当社では、脆弱性に対する対応が遅い、もしくは対応しないプラグインは、クライアントに推奨していません。
公式サイトに直接的な記載はありませんが、Category Order and Taxonomy Terms Orderは、通常のセマンティックバージョニングに準拠し、左からメジャーバージョン、マイナーバージョン、パッチバージョンの3つの数字で構成されています。
なお、一部のバージョンでは4桁目の数字が追加されていますが、これはセマンティックバージョニングの定義に従ったビルドメタデータやプレリリースではなく、追加の修正や同一日に複数のリリースを行った際に適用される、独自のバージョニング方式であると考えられます。
2024年10月10日現在、Category Order and Taxonomy Terms Orderの最新バージョンは1.8.6であり、WordPress6.6.2までテストされています。
通常のオープンソースソフトウェアでは、公式のサポート(新機能の追加、不具合の改修、セキュリティパッチの提供)は最新パッチバージョンのみを対象としており、Category Order and Taxonomy Terms Orderでも同様の対応が行われていると考えられます。
バージョン1.5.2.2以下には既知の脆弱性があるため、最新のパッチバージョンへのアップデートをしてください。
2024年10月10日現在での、Category Order and Taxonomy Terms Orderのバージョン情報は次の通りです。
バージョン | リリース日 | サポート期限 | 修正された脆弱性 |
1.8.6 | 2024年9月9日 | サポート中 | - |
1.8.5 | 2024年9月5日 | 2024年9月9日 | - |
1.8.4 | 2024年9月4日 | 2024年9月5日 | - |
1.8.2 | 2024年6月6日 | 2024年9月4日 | - |
1.8.1 | 2024年4月5日 | 2024年6月6日 | - |
1.8 | 2023年12月29日 | 2024年4月5日 | - |
1.5.3 | 2018年2月22日 | 2018年2月27日 | Wordfence Acunetix |
1.4.7 | 2015年12月11日 | 2016年6月4日 | Wordfence Acunetix |
※上記の内容は、WordPress公式開発ログの情報を正として、バージョン1.8までを掲載しています。また、それ以前のバージョンについては、下記脆弱性が修正されたバージョンを追記しています。
※バージョン1.5.2.2以下には既知の脆弱性が存在するため、グレーにしています。
Category Order and Taxonomy Terms Orderの最新バージョンは1.8.6であり、当社が把握している全ての脆弱性に修正対応済みとなっています。
また、Category Order and Taxonomy Terms Order 1.5.2.2以下のバージョンをご使用の場合には、既知の脆弱性が存在する可能性がありますので、最新バージョンへとアップデートをしてください。
なお、Category Order and Taxonomy Terms Order自体に関する脆弱性情報で、当社が把握しているものは次の通りです。
脆弱性情報 | 深刻度 | 影響を受けるバージョン | 修正されたバージョン |
Wordfence Acunetix |
CVSS v3 8.5 (重要) |
Category Order and Taxonomy Terms Order 1.5.2.2までのバージョン | Category Order and Taxonomy Terms Order 1.5.3 |
Wordfence Acunetix |
CVSS v3 6.1 (警告) |
Category Order and Taxonomy Terms Order 1.4.6までのバージョン | Category Order and Taxonomy Terms Order 1.4.7 |
※上記脆弱性情報については、情報セキュリティにおける脆弱性情報に付けられている番号であるCommon Vulnerabilities and Exposures(本記事では「CVE」とします)が採番されていないことから、脆弱性情報を掲載しているWordfence及びAcunetixのリンクを掲載しています。
※深刻度については、共通脆弱性評価システムCVSS v3に基づいています。本記事では、CVSS v3にて緊急(9.0~10.0)、重要(7.0~8.9)、警告(4.0~6.9)に区分されるもののみを掲載しています。
※深刻度の数値はCVE番号が採番されていないことから、Wordfenceのスコアに準拠しています。
※本記事における脆弱性情報は、当社が把握しているものだけであり、全ての脆弱性情報を網羅できているかはわかりません。
※本記事における脆弱性情報をご利用になる場合には、必ずWordfence及びAcunetixなどの情報を確認されたうえで、自己責任でご利用ください。
前述のように、Category Order and Taxonomy Terms Orderは人気のあるプラグインであり、Web制作の現場でWordPressを利用する場合には、よくお世話になるプラグインです。
しかしながら、Category Order and Taxonomy Terms Order自体のバージョンアップをしようと思っても、WordPressやPHPのバージョンアップが必要であったり、設定が複雑であるなどの問題に直面することもあるかと思います。
taneCREATIVE社は、「リモートによるWebアプリケーションのセキュリティ対策をパッケージ化、首都圏大手企業に提供」している点が評価され、2021年にJ-Startup NIIGATAに選定されているWeb制作会社で、Category Order and Taxonomy Terms OrderとWordPressはもちろんのこと、PHP、MySQL、MariaDB、各種サーバーについてもノウハウを有しています。
※「J-Startup NIIGATA」とは、経済産業省が2018年に開始したJ-Startupプログラムの地域版として、新潟発のロールモデルとなるスタートアップ企業群を明らかにし、官民連携により集中的に支援する仕組みを構築することで、新潟県におけるスタートアップ・エコシステムを強化する取組です。
Category Order and Taxonomy Terms Orderを使用したWebサイト制作やアップデートを含む保守管理に関しては、こちらのお問合せよりお気軽にご相談ください。
taneCREATIVEに所属する謎のトラ。