論文の概要: Plug 'n' Pray: Agentic LLM-based Detection of Potential Log File Exposures in Third-Party Content Management System Plugins

• arxiv url: http://arxiv.org/abs/2609.17164v1
• Date: Tue, 15 Sep 2026 13:29:53 GMT
• ステータス: 翻訳完了
• システム内更新日: 2026-09-16 14:56:08.534515
• Title: Plug 'n' Pray: Agentic LLM-based Detection of Potential Log File Exposures in Third-Party Content Management System Plugins
• Title（参考訳）: Plug 'n' Pray: エージェントLDMによるサードパーティコンテンツ管理システムプラグインの潜在的ログファイル露光の検出
• Abstract要約: 我々は,最も人気のあるCMSプラグインのログファイル露出を自動的に検出するエージェント型LLMベースのフレームワークを提案する。 私たちは、最もインストールされたWordPressプラグイン300個(全体の約0.6%)に対して、我々のアプローチを評価しました。 多層保護が必要であるが、常に存在するとは限らない。
• 参考スコア（独自算出の注目度）: 0.0
• License: http://creativecommons.org/licenses/by/4.0/
• Abstract: Content Management Systems (CMS), such as WordPress, power a large share of the web (~58%), and their extensibility through third-party plugins is a major source of their popularity as well as of their attack surface. One high-impact weakness that remains understudied is log file exposure by CMS plugins, which create log files for debugging or other purposes. If these files are insufficiently secured, they can disclose sensitive information (e.g. credentials, personal data) which has led to website compromises in the past. In this work, we present an agentic, LLM-based framework that automatically detects potential log file exposures in plugins of the most popular CMS (WordPress). Our agent analyzes each plugin by performing static and dynamic analysis. We evaluated our approach on the 300 most-installed WordPress plugins (about 0.6% of all), which together account for over 250M active installations, i.e. 75% of all active installations in the official plugin ecosystem. We manually validated each finding, reproducing 79 of 81 findings from 62 plugins. We observed that several protective measures appear to be implemented that we classify as creation-control (e.g. manual log activation) and access-control (e.g. deny rules in .htaccess). However, we find that multi-layered protection is required, but not always present. From these results we derive a taxonomy of log file path and protection patterns and deduce a set of best practices for developers to securely handle them. Finally, our study corroborates that agentic LLMs are an useful tool for security analysis.
• Abstract（参考訳）: WordPressなどのContent Management Systems(CMS)は、Webの大部分(約58%)を動かし、サードパーティプラグインによる拡張性は、彼らの人気と攻撃面の主要な情報源である。 CMSプラグインによるログファイルの露出は、デバッグやその他の目的のためにログファイルを生成する。 これらのファイルが不十分に保護されている場合、機密情報(認証情報、個人データなど)が開示され、過去にウェブサイトの妥協につながった。 本研究では,最も人気のあるCMS (WordPress) プラグインのログファイル露出を自動的に検出するエージェント型 LLM ベースのフレームワークを提案する。 エージェントは静的および動的解析によって各プラグインを解析する。 私たちは、オフィシャルなプラグインエコシステムにおけるアクティブなインストールの75%である2億5000万以上のアクティブなインストールを合計して、最も多くインストールされたWordPressプラグイン(全体の約0.6%)に対するアプローチを評価しました。 62のプラグインから81の発見のうち79の発見を再現し,手動で検証した。 我々は、生成制御(例えば、手動ログのアクティベーション)とアクセス制御(例えば、.ht accessのルールを否定する)に分類するいくつかの保護措置が実施されているように見える。 しかし、多層保護が必要であるが、常に存在するとは限らない。 これらの結果から、ログファイルパスと保護パターンの分類を導き、開発者がそれらを安全に扱うためのベストプラクティスのセットを導出します。 最後に, エージェントLDMがセキュリティ解析に有用なツールであることを示す。

関連論文リスト

• DocAtlas: Long-Document Understanding as Mutable-State Interaction [67.90400271544678]
  本稿では,長期文書理解を可変状態情報探索プロセスとして扱うDocAtlasを提案する。 ドキュメントと質問が与えられた後、DocAtlasは検索、読み取り、メモ取り、レビューツールを公開し、階層的なツリーとノートストアを維持し、エージェントが証拠を記録するように更新する。 GPT-5.4では、DocAtlasはMMLongBench-Docで71.4%に達し、65.8%という人間の専門的基準を超えた。
  論文  参考訳（メタデータ） (2026-07-21T09:45:34Z)
• Evaluating LLMs for Real-World Web Vulnerability Detection [0.0]
  大きな言語モデル(LLM)は、自動脆弱性検出のための有望なツールとして登場した。 この研究は6つのフロンティア(Claude Opus 4.6、Codex GPT-5.4、Gemini 3.1-pro-preview)とオープンウェイトモデル(Qwen 3.5、Qwen 3 Coder Next、MiniMax M2.5)を実際のWeb脆弱性を検出する能力でベンチマークする。
  論文  参考訳（メタデータ） (2026-06-19T13:02:47Z)
• MEME: Multi-entity & Evolving Memory Evaluation [76.57263966646404]
  MEMEは、マルチエンタリティと進化する軸によって定義される全空間にまたがる6つのタスクを定義している。 3つの記憶パラダイムにまたがる6つの記憶システムの評価。 デフォルト設定の下では、すべてのシステムが依存性の推論で崩壊しているのが分かります。
  論文  参考訳（メタデータ） (2026-05-12T17:55:10Z)
• SST-Guard: Detecting and Characterizing Server-Side Google Analytics in the Wild [48.894149803432605]
  SST-Guardは,サーバサイドのGoogle Analytics(sGA)の検出とブロックを行うブラウザベースのシステムである。 SST-Guardは、任意のエンドポイントにこれらのセマンティック値のコレクションと共有の根底にあるアーティファクトを検出することを目的としている。 SST-Guard on Tranco top-10k Website, detected 4.02% (403) sGA domain with 93% accuracy across three modalities。
  論文  参考訳（メタデータ） (2026-04-30T06:50:14Z)
• Silent Egress: When Implicit Prompt Injection Makes LLM Agents Leak Without a Trace [0.0]
  自動生成されたURLプレビューに埋め込まれた敵対的命令は、サイレント・エクスプレスと呼ばれるシステムレベルのリスクをもたらす可能性があることを示す。 完全にローカルで再現可能なテストベッドを使用して、悪意のあるWebページがエージェントを誘導し、機密性の高いランタイムコンテキストを透過するアウトバウンドリクエストを発行できることを実証する。 qwen2.5:7bをベースとした480の実験では、攻撃は高い確率 (P (exress) =0.89) で成功し、95%の攻撃は出力ベースの安全チェックでは検出されない。
  論文  参考訳（メタデータ） (2026-02-25T22:26:23Z)
• Software Testing at the Network Layer: Automated HTTP API Quality Assessment and Security Analysis of Production Web Applications [1.9537983097153042]
  我々は18のプロダクションWebサイトの完全なHTTPトラフィックをキャプチャして分析する自動ソフトウェアテスティングフレームワークを提案する。 最小主義のサーバーレンダリングサイトは100点、コンテンツの多い商用サイトは56.8点のスコアを得た。 冗長なAPI呼び出しと欠落するキャッシュヘッダを、最も普及している2つのアンチパターンとして識別し、それぞれが67%のサイトに影響を与える。
  論文  参考訳（メタデータ） (2026-02-09T03:39:45Z)
• AgentSys: Secure and Dynamic LLM Agents Through Explicit Hierarchical Memory Management [47.49917373646469]
  既存の防御は肥大した記憶を与えられたまま扱い、回復力を維持することに集中する。 我々は、明示的なメモリ管理を通じて間接的なインジェクションを防御するフレームワークであるAgentSysを紹介する。
  論文  参考訳（メタデータ） (2026-02-07T06:28:51Z)
• The Trojan Knowledge: Bypassing Commercial LLM Guardrails via Harmless Prompt Weaving and Adaptive Tree Search [58.8834056209347]
  大規模言語モデル(LLM)は、有害な出力を誘導するために安全ガードレールをバイパスするジェイルブレイク攻撃に弱いままである。 CKA-Agent(Correlated Knowledge Attack Agent)は、ターゲットモデルの知識基盤の適応的木構造探索としてジェイルブレイクを再構成する動的フレームワークである。
  論文  参考訳（メタデータ） (2025-12-01T07:05:23Z)
• Automated File-Level Logging Generation for Machine Learning Applications using LLMs: A Case Study using GPT-4o Mini [3.076436880934678]
  我々は、GPT-4o miniのファイルレベルでの機械学習プロジェクトのためのログステートメントを生成する能力を評価した。 LLMは63.91%のケースで人間と同じ場所にログを導入しているが、高いオーバーログ率は82.66%である。
  論文  参考訳（メタデータ） (2025-08-06T18:57:51Z)
• Evaluating the Language-Based Security for Plugin Development [0.0]
  我々は,プラグインのアクセス制御脆弱性の理解を深め,効果的なセキュリティ対策を検討することを目的としている。 一般的な開発環境におけるセキュリティメカニズムを評価するために,テストプラグインを開発し,評価した。 アクセス制御脆弱性に対処する能力ベースシステムの有効性を評価するために比較分析を行った。
  論文  参考訳（メタデータ） (2024-05-13T03:12:24Z)
• You Can't Trust Your Tag Neither: Privacy Leaks and Potential Legal Violations within the Google Tag Manager [4.749824105387293]
  Googleは、Google Tag Manager'(GTM)と呼ばれる独自のTMSを開発した。 タグを収集するデータのタイプを分析するために,プライバシリークを分離して検出する手法を提案する。 我々は、複数の隠れたデータ漏洩、不完全でバラバラな宣言、未公表のサードパーティやクッキー、個人データの共有、同意なしに発見する。
  論文  参考訳（メタデータ） (2023-12-14T10:46:18Z)
• Self-Supervised Log Parsing [59.04636530383049]
  大規模ソフトウェアシステムは、大量の半構造化ログレコードを生成する。 既存のアプローチは、ログ特化や手動ルール抽出に依存している。 本稿では,自己教師付き学習モデルを用いて解析タスクをマスク言語モデリングとして定式化するNuLogを提案する。
  論文  参考訳（メタデータ） (2020-03-17T19:25:25Z)

関連論文リストは本サイト内にある論文のタイトル・アブストラクトから自動的に作成しています。

指定された論文の情報です。
本サイトの運営者は本サイト（すべての情報・翻訳含む）の品質を保証せず、本サイト（すべての情報・翻訳含む）を使用して発生したあらゆる結果について一切の責任を負いません。