それはですね、ソクラテス。このプラグインのバージョンが1.0.3未満の場合は、誰でもアクセスできるエンドポイントで入力されたデータが適切に処理されず、管理者ページにスクリプトが残るんです。つまり、攻撃者が「管理者ページに不審なスクリプトが表示されている」ことに気づかなければ、ずっと悪用され続ける可能性があるってことですね。

まず、プラグインのバージョンを確認する必要があります。WordPressの管理画面で「インストール済みプラグイン」をチェックするだけで済むでしょう。次に、製品提供元が修正パッチを発表しているかを確認する。CVSSスコアが8.8と高いので、無視するリスクは大きいです。

影響調査ですね。例えば、管理者ページに異常なスクリプトが表示されていないか、ログイン後の画面に不審なコードがあるかを点検する。また、アクセスログに「不正なリクエストが頻繁に発生している」ような兆候がないかをチェックする。

パッチ適用後は、変更履歴を記録し、テスト環境で動作を確認した上で本番に適用するべきです。このプラグインが「click5 CRM add-on to WPForms」だと、他のプラグインとの競合や挙動変化の可能性もあるでしょう。

定期的にセキュリティスキャンを実施し、異常なスクリプトの挿入を検出できるようにする。また、この脆弱性の情報はNVDに公開されているので、ベンダーの対応状況を確認するためのURLを保存しておきましょう。

「click5 CRM add-on to WPForms」というプラグイン名が、まるで「クリックしてCRMを獲得する魔法のフォーム」のように聞こえることですね。でも、その魔法は、攻撃者に開いたドアかもしれません。