WordPress Popular Postsでサムネイルを表示している方は要注意！

10/13/2012

WordPress Popular Postsは、人気記事の一覧を生成してくれる有名なプラグインです。とても使い勝手のいいプラグインなのですが、記事とともにサムネイルを表示している場合は要注意。脆弱性があります。

timthumb.phpに脆弱性アリ

WordPress Popular Postsではサムネイルを表示させる際、timthumb.phpというサムネイルを生成できるライブラリを使っています。このtimthumb.phpに脆弱性が見つかっています。

この脆弱性により、第三者が任意のPHPコードをTimThumbキャッシュディレクトリにアップロードでき、そのコードを実行されてしまいます。
timthumb.php もしくは thumb.php が無くても動作するならこのファイルをサイトから削除するようおすすめします。もし使っていないテーマやプラグインの中にこのファイルがあったら、そのテーマやプラグインのディレクトリごと削除したほうがいいでしょう。

引用元：WordPressのテーマやプラグインでtimthumb.phpをお使いの方は脆弱性が見つかったのでご注意！

そのまま使い続けるのは危険です。

サムネイル表示部分を修正

まずplugin→wordpress-popular-postsフォルダの中にある、wordpress-popular-posts.phpを修正します。

アイキャッチ画像をサムネイル表示している場合は1065行目にある

$thumb .= "<img src=¥"". $this->pluginDir ."/timthumb.php?src={$path}&amp;h={$tbHeight}&amp;w={$tbWidth}¥" width=¥"{$tbWidth}¥" height=¥"{$tbHeight}¥" alt=¥"{$title}¥" border=¥"0¥" class=¥"wpp-thumbnail wpp_fi¥" />";

この部分を修正して

$thumb .= "<img src=¥"{$path}¥" width=¥"60¥" height=¥"40¥" alt=¥"{$title}¥" border=¥"0¥" />";

のように変更すれば、timthumb.phpを使わずに表示する事ができます。

ただし、アイキャッチ画像のサイズが大きい場合は自前でGD関数などを使って、縮小させるなどの対応が必要です。

[sc name=”engeneer”]

無料メルマガ＜特典付き＞

個人開発・ビジネスについての有益な情報を無料メルマガでお届けします。

特典：個人開発の教科書＜心得編＞

これまでの個人開発経験を秘伝のタレ的な内容としてエッセンスをまとめました。35ページにわたる大ボリュームです。

個人開発のスキルアップにMENTA

MENTAはいろんなプロに相談できるNo1メンターサービスです。

僕自身もプロダクトの壁打ち・相談にのっています。個人開発でもコードレビュー、セキュリティ面のチェック、デザイン、広告、コンテンツマーケ、SNS集客について相談する、など使えます。

YouTubeでも個人開発ノウハウを発信中！

PROFILE

入江慎吾
あらゆるスキルが学べるパーソナルメンターサービスMENTAの代表／個人開発が好きでこれまでに30個ほどのWEBサービスやアプリを作ってきました／福岡のWEB制作会社勤務→フリーランスエンジニア→法人立ち上げ→M&A億単位の売却を経験。（詳しいプロフィール）