WordPressのプラグイン・テーマの脆弱性情報を公開している Wordfence から、日本の利用者にも影響がありそうなものを中心にピックアップして紹介します。
- 期間: 2025/03/06-2025/03/12 に報告があったもの
- 対象: Wordfenceが公開しているデータフィードより以下の条件を満たすもの
- WordPress.orgにおける "Active installations" が 10万 以上である
- 日本語の翻訳に対応している
深刻度が高い脆弱性: 1件
プラグイン: All-in-One WP Migration and Backup
| 対象製品 | All-in-One WP Migration and Backup |
| 対象バージョン | 7.89までの全てのバージョン |
| 修正バージョン | 7.9 |
| CVSS | 高 (7.5) |
| 脆弱性概要 | 7.89 までの全てバージョンに、'replace_serialized_values'関数で信頼できない入力をデシリアライズすることにより、 PHP オブジェクトインジェクションの脆弱性が存在します。 これにより認証していない攻撃者が PHP オブジェクトを挿入できます。 なお、このプラグイン単体にはPOPチェインはありません。つまり、ウェブサイトにPOPチェインを持つ他のプラグインやテーマが存在しない限り、この脆弱性の影響はありません。 もしも、他にインストールされたプラグインやテーマにPOPチェインが存在する場合、攻撃者はそのPOPチェインによっては任意のファイルを削除したり、機密性のデータを取得したり、PHPコードを実行したりすることができます。 この脆弱性を悪用するためには、管理者がバックアップをエクスポートし、リストアする必要があります。 |
| 対応方法 | 7.9以降にアップデートする |
| CVE | https://www.cve.org/CVERecord?id=CVE-2024-10942 |
| 公開日 | 2025-03-12 00:00:00 (2025-03-12 23:38:24更新) |
| 詳細 | https://www.wordfence.com/threat-intel/vulnerabilities/id/0823d1d9-4f3b-4ac0-8cd1-ad208ebc325f |
この脆弱性は 認証していない攻撃者 が任意のPHPオブジェクトを挿入できるものです。
なお、このプラグイン単体にはPOPチェインがないため、POPチェインを持つ他のプラグインやテーマをインストールしていない限りは影響がありません。
認証していない場合でも攻撃できるため、POPチェインの有無が不明に関わらずアップデートが必要です。
POPチェインについては前回解説していますので、そちらを参照ください。
他の脆弱性: 5件
プラグイン: VK Blocks
| 対象製品 | VK Blocks |
| 対象バージョン | 1.94.2.2までの全てのバージョン |
| 脆弱性概要 | 寄稿者以上の権限を持つユーザーで認証済の場合に、プライベート投稿と固定ページを含む機密情報を取得できる。 |
| 詳細 | https://www.wordfence.com/threat-intel/vulnerabilities/id/cc03b3f4-2edb-463b-812b-6a187a7a893c |
プラグイン: Responsive Lightbox & Gallery
| 対象製品 | Responsive Lightbox & Gallery |
| 対象バージョン | 2.4.7までの全てのバージョン |
| 脆弱性概要 | 寄稿者以上の権限を持つユーザーで認証済の場合に、任意のWebスクリプトをページに挿入できる。 |
| 詳細 | https://www.wordfence.com/threat-intel/vulnerabilities/id/44b173da-a6b9-424c-95a1-a87a9b8ee4af |
この脆弱性は、プラグインが同梱するJavaScriptライブラリ Featherlight.js 1.7.13 から 1.7.14 に存在する脆弱性によるものです。
プラグイン: bbPress
| 対象製品 | bbPress |
| 対象バージョン | 2.6.11までの全てのバージョン |
| 脆弱性概要 | 認証していない攻撃者が、bbPress Keymasterと同等の権限に昇格することができる。サイト管理者に予期しない処理を実行させることが可能だが、できることはbbPress Keymasterに付与されている権限による。(最も低い場合で購読者) |
| 詳細 | https://www.wordfence.com/threat-intel/vulnerabilities/id/2d776d94-8c81-4e88-bae3-946824a75c09 |
この脆弱性は認証していない攻撃者 (誰でも攻撃できる) による影響を受ける脆弱性ではありますが、得られる権限が限定されていて、即座に管理者権限を得るものではないことから、深刻度が低くなっています。
プラグイン: Download Manager
| 対象製品 | Download Manager |
| 対象バージョン | 3.3.08までの全てのバージョン |
| 脆弱性概要 | 投稿者以上の権限を持つユーザーで認証済の場合に、意図されたディレクトリの外のファイルタイプを選択させることで DoS (Denial of Service) を起こす可能性がある。 |
| 詳細 | https://www.wordfence.com/threat-intel/vulnerabilities/id/bc5c7974-4c10-4880-8823-2accee3c0da4 |
プラグイン: Post SMTP
| 対象製品 | Post SMTP |
| 対象バージョン | 3.1.2までの全てのバージョン |
| 脆弱性概要 | 管理者以上の権限を持つユーザーで認証済の場合に、既存のSQLクエリーに追加のSQLクエリーを付加することで機密情報をデータベースから抜き出すことを可能となる。 |
| 詳細 | https://www.wordfence.com/threat-intel/vulnerabilities/id/0540f70d-009a-4776-8717-f096e30a11d3 |
総括
この期間内に報告された脆弱性6件のうち、2件は認証していない攻撃者 (誰でも攻撃できる) に影響を受ける脆弱性で、4件とも少なくとも寄稿者以上の権限を持つユーザーで認証済の場合に影響を受ける脆弱性でした。引き続き、ユーザーログインを強固にすることが重要です。
なお、 Responsive Lightbox & Gallery の脆弱性は、厳密にはプラグインが同梱しているJavaScriptライブラリ Featherlight.js の脆弱性によるものでした。Responsive Lightbox & Gallery は Featherlight.js を脆弱性に対応したバージョンにアップデートしてリリースすることで対応しました。このように、WordPressのテーマやプラグインが同梱しているライブラリに脆弱性がある場合がありうることが分かります。
テーマ・プラグインを開発している方は、利用しているライブラリが最新であるかや、脆弱性が報告されていないかどうかに注意を払うことが必要です。
一方でテーマ・プラグインの利用者は、テーマ・プラグインの中でどのようなライブラリを使用しているかを知ることは難しいと考えます。まずは、使用しているテーマ・プラグインが継続的にメンテナンスされていて、定期的にアップデートをリリースしているかどうかを確認するところから始めてみましょう。もしも更新されていないようであれば、別のテーマ・プラグインに切り替えることを検討ください。
