- SERVICE
Webサイト・CMSの保守管理・運用
- WORKS
- ABOUT US
- NEWS & COLUMN
- RECRUIT
皆さんこんにちは。taneCREATIVEの「ちほうタイガー」です。
この記事は2024年10月23日に執筆しています。
今回はTable of Contents Plusのバージョンと脆弱性への対応状況についてまとめてみたいと思います。
Table of Contents Plusは、WordPressサイトに目次を簡単に追加できるプラグインであり、Michael Tranによって開発・サポートされています。
WordPressのPlugin Directoryの統計情報によると、アクティブインストールは不明ですが、総ダウンロード数は314万回以上を計測しており、人気があるプラグインの一つと言ってよいでしょう。
一方で、人気が高いほど攻撃対象になるリスクもあるため、脆弱性への適切な対応が重要になります。
実際にTable of Contents Plusの脆弱性は過去見つかっており、Michael Tranによって迅速に対応しています。
ただし、2024年10月23日現在、Table of Contents Plusには未修正の脆弱性が見つかっており、WordPress公式サイトでも2024年10月8日よりダウンロードが停止されています。
この記事では、企業のWeb担当の皆様に向けて、Table of Contents Plusの概要並びに、脆弱性及びその対応状況をご紹介することで、Table of Contents Plusを安心して使用していただけるようにしたいと思います。
少しでも皆様のお役に立てる記事にできればと思います。
どうぞよろしくお願い致します。
前述の通り、Table of Contents Plusは、Michael Tranによって開発・サポートされているオープンソースのWordPressプラグインです。
このプラグインを使用することで、WordPressサイトに目次を簡単に追加できます。
特にコンテンツが長い記事において目次は重要であり、本プラグインが役に立ちます。
実際のところ、当社のようなWeb制作会社の場合、Table of Contents Plusのようなプラグインを利用することはあまりありませんが、当社がこれまでに保守を引き受けたWordPressサイトには、Table of Contents Plusが使用されていたことがあります。
日本国内では特に多く使用されているプラグインの一つといえるかと思います。
自動目次生成機能 | 記事内の見出しタグ(h1, h2, h3, など)を自動的に検出し、目次を生成します。 ユーザーは、特定の見出しレベルに基づいて自動で目次を表示させるか、ショートコードを使用して手動で目次を表示されるかを選択できます。 |
スタイルのカスタマイズ | 目次のスタイルをカスタマイズし、色やフォント、リストのデザインを変更可能です。 このプラグインには、目次のデザインをカスタマイズするための複数のプリセットスタイルが用意されています。 また、必要に応じてカスタムCSSを使用して独自のデザインを追加することも可能です。 |
前述のように、人気のあるプラグイン(ダウンロード数が多いプラグイン)は、攻撃のターゲットとして狙われやすいという側面があります。
当社では、WordPress自体は非常に堅牢なCMSであり、バージョンアップをしっかりと行えば大きな侵入のリスクは少ないと考えています。
実際に、WordPress本体(コア)の脆弱性の数はプラグインやテーマに比べて少なく、特に最近では緊急レベルの脆弱性報告は減少しています。
※詳細は、当社が公表しているWordPressの脆弱性情報一覧を参照してください。
一方で、膨大な数のプラグインやアドオンが存在し、それらの脆弱性を狙った攻撃が増加しています。
特に有名なプラグインは、多くのユーザーに利用されているため、脆弱性が発見された場合、そのプラグインを狙った攻撃が集中する可能性があります。
※「20 WordPress Statistics You Should Know in 2023」によれば、WordPressに関連する脆弱性の約90%はプラグインに、6%はテーマに、残りの4%はWordPressコアに起因しているとのことです。
そのため、当社では、脆弱性に対する対応が遅い、もしくは対応しないプラグインは、クライアントに推奨していません。
Table of Contents Plusについては、定期的にバージョンアップがなされていますが、2024年10月23日現在、未修正の脆弱性が見つかっており、WordPress公式サイトでも2024年10月8日よりダウンロードが停止されています。
Table of Contents Plusをご利用になられている場合には、脆弱性が修正された最新バージョンが提供されるのを待ってバージョンアップを実施するか、プラグインのアンインストールないし代替プラグインへの変更を検討する必要があります。
公式サイトに直接的な記載はありませんが、Table of Contents Plusは、基本的には1つの数字による独自のバージョニングを採用しています(稀に2つめの数字もあります)。
ただし、おそらくは4桁の数字の左二桁が、セマンテックバージョニングのメジャーバージョンに該当し、右二桁がマイナーバージョンに該当するものと考えられます(稀にある2つめの数字がパッチバージョンかと思います)。
2024年10月23日現在、 Table of Contents Plusの最新バージョンは2408であり、WordPress6.6.2までテストされています。
通常のオープンソースソフトウェアでは、公式のサポート(新機能の追加、不具合の改修、セキュリティパッチの提供)は最新バージョンのみを対象としており、Table of Contents Plusでも同様の対応が行われていると考えられます。
2024年10月23日現在での、Table of Contents Plusのバージョン情報は次の通りです。
バージョン | リリース日 | サポート期限 | 修正された脆弱性 |
2408 | 2024年8月14日 | サポート中 | - |
2406 | 2024年6月16日 | 2024年8月14日 | - |
2402.1 | 2024年2月22日 | 2024年6月16日 | - |
2402 | 2024年2月21日 | 2024年2月22日 | - |
2311 | 2023年11月7日 | 2024年2月21日 | - |
2309 | 2023年9月19日 | 2023年11月7日 | CVE-2023-44473 WordFence WPScan |
2302 | 2023年2月9日 | 2023年9月19日 | - |
2212 | 2022年12月16日 | 2023年2月9日 | CVE-2022-4479 |
※上記の内容は、WordPress公式の開発ページの情報を正として、バージョン2212までを掲載しています。
※バージョン2408以下には既知の脆弱性が存在するため、グレーにしています。
Table of Contents Plusの最新バージョンは2408であり、当社が把握している脆弱性に未修正の状態です。
Table of Contents Plusをご利用になられている場合には、脆弱性が修正された最新バージョンが提供されるのを待ってバージョンアップを実施するか、プラグインのアンインストールないし代替プラグインへの変更を検討する必要があります。
なお、Table of Contents Plus自体に関する脆弱性情報で、当社が把握しているものは次の通りです。
脆弱性情報 | 深刻度 | 影響を受けるバージョン | 修正されたバージョン |
WPScan | CVSS v3 3.5 (注意) |
・Table of Contents Plus 2408までのバージョン | 修正されていません。 |
CVE-2023-44473 JVNDB-2023-014524 |
CVSS v3 8.8 (重要) |
・Table of Contents Plus 2302までのバージョン | ・Table of Contents Plus 2309 |
WordFence WPScan |
CVSS v3 4.4 (警告) |
・Table of Contents Plus 2302までのバージョン | ・Table of Contents Plus 2309 |
CVE-2022-4479 JVNDB-2022-005046 |
CVSS v3 5.4 (警告) |
・Table of Contents Plus 2106までのバージョン | ・Table of Contents Plus 2212 |
※脆弱性情報については、情報セキュリティにおける脆弱性情報に付けられている番号であるCommon Vulnerabilities and Exposures(本記事では「CVE」とします)の順序に従って掲載しています。ただし、CVEの採番がなされていない脆弱性情報については、WordFence、WPScanなどの情報へのリンクを掲載しています。
※深刻度については、共通脆弱性評価システムCVSS v3に基づいています。
※深刻度の数値はJapan Vulnerability Notes(本記事では「JVN」とします)及び、JVNが評価を合わせている米国国立標準技術研究所(NIST)が運営する脆弱性データベースであるNational Vulnerability Database(以下「NVD」)に準拠していますが、NVDにてスコアリングされていない場合には、Wordfence、WPScanのスコアに準拠しています。
※本記事における脆弱性情報は、当社が把握しているものだけであり、全ての脆弱性情報を網羅できているかはわかりません。
※本記事における脆弱性情報をご利用になる場合には、必ずJVN、NVD、Wordfenceなどの情報を確認されたうえで、自己責任でご利用ください。
前述のように、Table of Contents Plusは人気のあるプラグインであり、Web制作の現場でWordPressを利用する場合には、よく使用されるプラグインです。
しかしながら、Table of Contents Plus自体のバージョンアップをしようと思っても、WordPressやPHPのバージョンアップが必要であったり、設定が複雑であるなどの問題に直面することもあるかと思います。
あるいは、脆弱性の懸念から代替プラグインに変更したり、スクラッチでのフォローを望まれているかもしれません。
taneCREATIVE社は、「リモートによるWebアプリケーションのセキュリティ対策をパッケージ化、首都圏大手企業に提供」している点が評価され、2021年にJ-Startup NIIGATAに選定されているWeb制作会社で、Table of Contents PlusとWordPressはもちろんのこと、PHP、MySQL、MariaDB、各種サーバーについてもノウハウを有しています。
※「J-Startup NIIGATA」とは、経済産業省が2018年に開始したJ-Startupプログラムの地域版として、新潟発のロールモデルとなるスタートアップ企業群を明らかにし、官民連携により集中的に支援する仕組みを構築することで、新潟県におけるスタートアップ・エコシステムを強化する取組です。
Table of Contents Plusの脆弱性への対応や保守管理に関しては、こちらのお問合せよりお気軽にご相談ください。
taneCREATIVEに所属する謎のトラ。