WordPress テーマ・プラグイン脆弱性情報のまとめ（2025/11/27-2025/12/03）

WordPressのプラグイン・テーマの脆弱性情報を公開している Wordfence から、日本の利用者にも影響がありそうなものを中心にピックアップして紹介します。

期間: 2025/11/27-2025/12/03 に報告があったもの
対象: Wordfenceが公開しているデータフィードより以下の条件を満たすもの
- WordPress.orgにおける "Active installations" が 10万以上である
- 日本語の翻訳に対応している

深刻度が高い脆弱性: 1件

対象製品	Backup Migration
対象バージョン	1.4.9までの全てのバージョン
修正バージョン	2.0.0
CVSS	高 (7.5)
脆弱性概要	1.4.9までの全バージョンにおいて、バックアップのパスを含む公開されたログファイルを介した機密情報漏洩の脆弱性があります。認証していない攻撃者が、wp-config.phpなどのファイルを含む機密データを抽出することが可能となります。
対応方法	2.0.0以降にアップデートする
CVE	https://www.cve.org/CVERecord?id=CVE-2025-12394
公開日	2025-11-03 00:00:00 (2025-12-01 17:11:53更新)
詳細	https://www.wordfence.com/threat-intel/vulnerabilities/id/82b59dd0-4101-4bfb-ad3b-ba5a44cebe2a

対象製品	Post SMTP
対象バージョン	3.6.1までの全てのバージョン
脆弱性概要	購読者以上の権限を持つユーザーで認証済の場合に、無効なOAuth認証情報や攻撃者が制御するOAuth認証情報を注入できる。
詳細	https://www.wordfence.com/threat-intel/vulnerabilities/id/5bd9f312-99e1-4dc2-855d-90339c2e24da

対象製品	Autoptimize
対象バージョン	3.1.13までの全てのバージョン
脆弱性概要	寄稿者以上の権限を持つユーザーで認証済の場合に、ユーザーが挿入されたページにアクセスするたびにウェブスクリプトが実行される、任意のウェブスクリプトをページに挿入できる。
詳細	https://www.wordfence.com/threat-intel/vulnerabilities/id/6ed5bdb3-c4cd-4982-bc47-feeff527e284

対象製品	Beaver Builder Page Builder
対象バージョン	2.9.4までの全てのバージョン
脆弱性概要	寄稿者以上の権限を持つユーザーで認証済の場合に、任意の投稿やページでBeaver Builderレイアウトを無効化することが可能となり、それらのページでコンテンツの整合性問題やレイアウトの乱れを引き起こせる。
詳細	https://www.wordfence.com/threat-intel/vulnerabilities/id/710ed734-ca98-4ab3-82d5-359e683ee062

対象製品	Custom Post Type UI
対象バージョン	1.18.0までの全てのバージョン
脆弱性概要	購読者以上の権限を持つユーザーで認証済の場合に、限定的な状況下でカスタム投稿タイプを追加、編集、または削除できる。
詳細	https://www.wordfence.com/threat-intel/vulnerabilities/id/90d203b1-9426-4eff-b566-02c8a1c6adfa

対象製品	Nextend Social Login and Register
対象バージョン	3.1.21までの全てのバージョン
脆弱性概要	認証されていない攻撃者が、リンクをクリックするなどの操作を管理者に実行させることで、偽造リクエストを通じてユーザーのソーシャルログインを解除できる。
詳細	https://www.wordfence.com/threat-intel/vulnerabilities/id/9c6b747e-d267-4fd3-a4fd-022aa657c796

対象製品	Beaver Builder Page Builder
対象バージョン	2.9.4までの全てのバージョン
脆弱性概要	寄稿者以上の権限を持つユーザーで認証済の場合に、サイト全体のBeaver Builderコンテンツに影響を与えるグローバルな色と背景のプリセットを追加、変更、または削除できる。
詳細	https://www.wordfence.com/threat-intel/vulnerabilities/id/b797e141-a9d2-48c4-a44e-a59a80a90a5b

対象製品	WP Fastest Cache
対象バージョン	1.4.0までの全てのバージョン
脆弱性概要	購読者以上の権限を持つユーザーで認証済の場合に、複数のデータベース修正アクションを実行することが可能となる。この影響を受けるのは、プレミアム機能が有効化されているサイトのみ。
詳細	https://www.wordfence.com/threat-intel/vulnerabilities/id/c24cf4de-1392-43a8-85a5-8c66c00c44d7

対象製品	Advanced Custom Fields: Extended
対象バージョン	0.9.0.5から0.9.1.1までの全てのバージョン
脆弱性概要	認証されていない攻撃者が、サーバー上で任意のコードを実行できるようになり、バックドアの注入や新しい管理者ユーザーアカウントの作成に悪用できる。
詳細	https://www.wordfence.com/threat-intel/vulnerabilities/id/c508cb73-53e6-4ebe-b3d0-285908b722c9

対象製品	WooCommerce
対象バージョン	9.3.2までの全てのバージョン 9.4から9.4.2までの全てのバージョン
脆弱性概要	認証されていない攻撃者が、リンクをクリックするなどの操作をユーザーに実行させることで、任意のWebスクリプトをページに注入し、実行できる。
詳細	https://www.wordfence.com/threat-intel/vulnerabilities/id/cc2ee5bb-eeb8-4134-8f3f-b411e56457f0

この期間内に報告された脆弱性10件のうち、4件は認証していない攻撃者 (誰でも攻撃できる) に影響を受ける脆弱性で、6件は少なくとも購読者以上の権限を持つユーザーで認証済の場合に影響を受ける脆弱性でした。

引き続き認証していない攻撃者によって影響を受ける脆弱性が多く報告されています。
深刻度が高くない脆弱性であっても、条件によってはサイトに大きな影響をおよぼす可能性があるものですので、できるだけアップデートを行い、最新版を維持するようにしてください。