Tag Archives: plugin

ワードプレステーマ販売の Pipdig が、顧客サイトを使って競合にDDoSを掛けていた

ブログツール WordPress の有料デザインテーマを販売する Pipdig が、販売したテーマの中に競合製品の妨害をするなどのコードを隠し入れていた、ということで騒ぎになっています

イギリスのジェム・ジャベラ氏(Jem Jabella)のレポートが口火を切った疑惑は、Pipdig の売っているテーマが利用している Pipdig Power Pack (P3) プラグインの動作に関するもの。

さまざまな「特権的」コードの混入

「有料テーマを買って入れたら、ワードプレスのサイトがおかしな挙動を示すようになった」と顧客から調査を頼まれた彼女は、サイトがひどく遅くなっていることに気づきます。P3 プラグインがその原因だろうと突き止めた彼女は、P3が以下のようなことをしていると突き止めたと言います。

  • 利用者ブロガーのサーバーを使って、競合のウェブサイトに DDoS を掛ける
  • 利用者ブロガーのコンテンツ内のリンクを変更し、競合サイトの紹介リンクをPipdig へのリンクに変更する
  • GDPR違反となるような許可の無い利用者ブログの情報を収集する
  • 管理者パスワードを変更して利用者ブログへのアクセス権を得る
  • データベースの全テーブルを削除するスイッチを内蔵
  • Pipdigが不要と判断する他のプラグインを、ユーザーに問い合わせることなく無効化
  • ワードプレス本体や他のプラグインが出す警告を隠す

ジェムさんはこれらのコードの該当部分それぞれを記事中で解説していますが、実際の実行コードを外部のサイトから取得して動かしていたりする作りもあり、ある時点でその外部コードを調べても空ファイルだったり、無害なコードだったりと、すぐには何をしているのかわからないように工作されているようです。

管理者のメールアドレスをテキストファイルに出力し、そのログインパスワードを変更する機能などもあり、これが(WordPress に詳しくない)ユーザーをサポートする際に使おうという機能ではないかという擁護もありましたが、サポートを依頼したユーザーだけでなく全利用者に対して使えるようになっていることなど、Pipdig に対する疑念が表明されています。

別の操作。Bluehost という競合のテーマが有効になっていたら、そのキャッシュ機能を切り、WordPress公式に偽装したドメインに置いたコードを実行した上で「サイトが遅くなってますか?」というメッセージを表示させてた、というもの。

告発を受けたバージョンのソースコードのミラー。Pipdig 社はすでにいろいろなコードを削除した新バージョンを公開しているので、証拠保全用に前の問題があるバージョンを保管した人がいるようです。

Pipdig の「弁明」

Pipdig はブログで公式な声明を出しています。

彼らはたった4人の小さな会社で、猫の画像が好き。テーマをコピーして売ろうとする盗作が起こり、その対策としてコードを入れた、等、悪意でやったものではないと書いています。

また、停止させた他のプラグインのリストと、停止させた理由も書かれています。

一つ一つの理由を見れば、隠し入れられたすべての機能が最初から悪意を持って入れられたものではないのかもしれません。競合の排除やリンクの変更はそれでも弁明不可能に思いますが。

こういろいろと揃ってみると、購入者のワードプレス/サーバに対して自分たちのものであるかのように自由に操作しようとしている感じがあり、名誉回復は難しいのではと感じます。

ジェムさんは Pipdig を「ワードプレス有料テーマ販売の大手の一つ」と書いていますが、日本語で宣伝や販売をしていた感じでもないので、日本にはそれほどユーザーがいないのかもしれません。もし使っている場合は、Pipdig 社が出したこれらの機能を削った最新版に更新するか、彼らが信用できなければ他社のものに変更した方がいいかもしれません。

via Wordfence, Hacker News

WordPressに喋らせる Amazon Polly プラグイン。読み上げ podcast 開設まで

[更新 2019-02] この記事のためだけにプラグインを入れておくのを止めて、プラグインは無効にします。また、プラグイン名は Amazon Polly から Amazon AI に変更されていたようです。

Amazon 自身が音声合成サービス Amazon Polly のワードプレス用プラグイン Amazon Polly公開したので、早速入れてみました。

インストールと設定

WordPress のプラグインディレクトリから選んでインストールすると、「設定」メニューに Amazon Polly が出てきます。

必要な権限を持たせたAWSのアカウントを用意して、以下の二つを設定。

  • AWS access key
  • AWS secret key

また、Voice Name で言語や話者を選べるので、日本語の女性 Mizuki か男性 Takumi を選んでおきます。

Cloud storage の項目では、合成された音声をローカルではなくAmazon S3に置く指定も可能です。

音声対応の記事を書く

これで新規にブログ記事を書こうとすると、投稿画面に”Enable Amazon Polly”というチェックボックスが出てくるので、喋らせたい記事にチェックを入れます。チェックすると「今回の変換にいくら掛かるか?」を確認するボタンまで出してくれるのは、有料APIだけに安心感があります。

あとは通常と同様に公開するだけ。

記事の先頭(プラグインの設定により末尾に出したり、表示しないことも可能)に、上のように音声再生のウィジェットが表示されました。聴いてみるとかなり良い感じで合成されていますね。

Autoplay という設定で、記事を開くと自動的に喋り始めるようにもできますが、これをオンにするのは読者には煩わしいのではないかと思います。

自動podcastも

管理画面の案内から、ブログの podcast feed が自動で生成されていることもわかります。

このブログの場合はこのURLで、生成された音声記事が podcast として公開されているということです。さらに iTunes で公開する Podcast Connect へ案内までしてくれるので、Apple ID/Store Account を持っていればそのまま iTunes で公開までしてしまいそうです。

今回はこの記事のみ変換するようにしましたが、過去の記事も変換したり、新規記事はデフォルトで音声版を作るようにする設定もあるので、既存のブログ資産から勝手に podcast を作れてしまいます。大量に長文を変換すると、それなりの金額になるかもしれませんが、そこだけ注意すれば、ブログコンテンツの再活用という意味でも面白いかもしれません。

WordPress Admin Style – ワードプレス管理画面で使えるCSSスタイルを列挙するプラグイン

WordPress Admin Style は、ワードプレスのプラグイン開発者のためのサポートツールです。

プラグインは公式レポジトリにはなく、GitHubで公開されています。

cloneするなりzipでダウンロードするなりして、WordPressの開発環境、plugins以下へコピーします。

wordpress-admin-style-enable

プラグインを有効化すると、サイドメニューに”Admin Style”というメニューが増え、クリックすると、管理画面で最初から使えるスタイルが列挙されたページが開きます。

wordpress-admin-style-screenshot

Admin画面のデザインをする際に、どんな要素にどんなデザインが当たっているのかを把握しやすくて便利かなと思いました。

円ドルの通貨を自動で換算表示するWordPressプラグインAuto Currency Converterを公開しました

サイボウズ・ラボの合宿(正確にはラボユースの合宿)で、自分のブログ用にワードプレスのプラグインAuto Currency Converter(自動通貨変換)を作ったので公開します。

ブログの本文中に書いたドルの金額表示を見つけて、それを今日のレートで円に換算したらいくらになるかを後ろに付記します。円からドルについても同様です。

たとえば、こんな感じの表示となります。

ダルビシュ有投手の2013年の年俸は$9,500,000(1045000000)で、日本ハムファイターズの2013年の年俸総額は21億8070円(19089073)です。

カッコの中は自分で書いてません。自動的に作成されています。

設定はほとんど無いのですが、過去の記事では手動で換算結果を付けていたから変換されると困るというケースのために、プラグインの作動を有効にする開始日を設定できるようにしてあります。使い始めの日にセットしていただければ、過去の記事については勝手に変換されることはありません。

海外のニュースや商品を紹介することが多いWordPressブロガーの方、いかがでしょうか。

数年ぶりに「1ドル=100円」を超えた円安がニュースになり、だいたい100倍すればいいという、たいへんわかりやすい状況ではありますが。今後また円高に戻ったり、円安が進んだりしてわかりにくくなると、役に立つ&手間が省けるかなと思います。

不具合報告などもお待ちしております。(英語, 日本語)

あとは、プラグイン公開ページの772×250のバナーを誰か作ってくれませんか。

[公開終了] WordPressブログで告知を扱うプラグインApollo Plugin

[更新 2016-09-26] プラグイン、Githubのソースコード共に公開が取り下げられていました。類似のプラグインとしては、Notification Barなどがあるようです。

Apollo Pluginは、ワードプレスブログで各ページの最上部に出す告知を簡単に作成・管理できるプラグインです。

管理画面は機能をオンにするのと、通知バーの色を選ぶぐらい。

カスタムポストで通常の記事と同じように、アナウンスバーに出したい告知が書けます。開始日・終了日も指定できるので、告知の必要性が無くなったら自動的に消すことも可能。

ブログでちょっとした告知をする際にいいかも。

[更新 2013-03-13] プラグインの公式ページができ、また、僕が作った日本語リソースが取り込まれたようです。メニューが日本語になります。