WordPressのプラグイン・テーマの脆弱性情報を公開している Wordfence から、日本の利用者にも影響がありそうなものを中心にピックアップして紹介します。
- 期間: 2025/11/27-2025/12/03 に報告があったもの
- 対象: Wordfenceが公開しているデータフィードより以下の条件を満たすもの
- WordPress.orgにおける "Active installations" が 10万 以上である
- 日本語の翻訳に対応している
深刻度が高い脆弱性: 1件
プラグイン: Backup Migration
| 対象製品 | Backup Migration |
| 対象バージョン | 1.4.9までの全てのバージョン |
| 修正バージョン | 2.0.0 |
| CVSS | 高 (7.5) |
| 脆弱性概要 | 1.4.9までの全バージョンにおいて、バックアップのパスを含む公開されたログファイルを介した機密情報漏洩の脆弱性があります。 認証していない攻撃者が、wp-config.phpなどのファイルを含む機密データを抽出することが可能となります。 |
| 対応方法 | 2.0.0以降にアップデートする |
| CVE | https://www.cve.org/CVERecord?id=CVE-2025-12394 |
| 公開日 | 2025-11-03 00:00:00 (2025-12-01 17:11:53更新) |
| 詳細 | https://www.wordfence.com/threat-intel/vulnerabilities/id/82b59dd0-4101-4bfb-ad3b-ba5a44cebe2a |
他の脆弱性: 9件
プラグイン: Post SMTP
| 対象製品 | Post SMTP |
| 対象バージョン | 3.6.1までの全てのバージョン |
| 脆弱性概要 | 購読者以上の権限を持つユーザーで認証済の場合に、無効なOAuth認証情報や攻撃者が制御するOAuth認証情報を注入できる。 |
| 詳細 | https://www.wordfence.com/threat-intel/vulnerabilities/id/5bd9f312-99e1-4dc2-855d-90339c2e24da |
プラグイン: Autoptimize
| 対象製品 | Autoptimize |
| 対象バージョン | 3.1.13までの全てのバージョン |
| 脆弱性概要 | 寄稿者以上の権限を持つユーザーで認証済の場合に、ユーザーが挿入されたページにアクセスするたびにウェブスクリプトが実行される、任意のウェブスクリプトをページに挿入できる。 |
| 詳細 | https://www.wordfence.com/threat-intel/vulnerabilities/id/6ed5bdb3-c4cd-4982-bc47-feeff527e284 |
プラグイン: Beaver Builder Page Builder
| 対象製品 | Beaver Builder Page Builder |
| 対象バージョン | 2.9.4までの全てのバージョン |
| 脆弱性概要 | 寄稿者以上の権限を持つユーザーで認証済の場合に、任意の投稿やページでBeaver Builderレイアウトを無効化することが可能となり、それらのページでコンテンツの整合性問題やレイアウトの乱れを引き起こせる。 |
| 詳細 | https://www.wordfence.com/threat-intel/vulnerabilities/id/710ed734-ca98-4ab3-82d5-359e683ee062 |
プラグイン: Custom Post Type UI
| 対象製品 | Custom Post Type UI |
| 対象バージョン | 1.18.0までの全てのバージョン |
| 脆弱性概要 | 購読者以上の権限を持つユーザーで認証済の場合に、限定的な状況下でカスタム投稿タイプを追加、編集、または削除できる。 |
| 詳細 | https://www.wordfence.com/threat-intel/vulnerabilities/id/90d203b1-9426-4eff-b566-02c8a1c6adfa |
プラグイン: Nextend Social Login and Register
| 対象製品 | Nextend Social Login and Register |
| 対象バージョン | 3.1.21までの全てのバージョン |
| 脆弱性概要 | 認証されていない攻撃者が、リンクをクリックするなどの操作を管理者に実行させることで、偽造リクエストを通じてユーザーのソーシャルログインを解除できる。 |
| 詳細 | https://www.wordfence.com/threat-intel/vulnerabilities/id/9c6b747e-d267-4fd3-a4fd-022aa657c796 |
プラグイン: Beaver Builder Page Builder
| 対象製品 | Beaver Builder Page Builder |
| 対象バージョン | 2.9.4までの全てのバージョン |
| 脆弱性概要 | 寄稿者以上の権限を持つユーザーで認証済の場合に、サイト全体のBeaver Builderコンテンツに影響を与えるグローバルな色と背景のプリセットを追加、変更、または削除できる。 |
| 詳細 | https://www.wordfence.com/threat-intel/vulnerabilities/id/b797e141-a9d2-48c4-a44e-a59a80a90a5b |
プラグイン: WP Fastest Cache
| 対象製品 | WP Fastest Cache |
| 対象バージョン | 1.4.0までの全てのバージョン |
| 脆弱性概要 | 購読者以上の権限を持つユーザーで認証済の場合に、複数のデータベース修正アクションを実行することが可能となる。この影響を受けるのは、プレミアム機能が有効化されているサイトのみ。 |
| 詳細 | https://www.wordfence.com/threat-intel/vulnerabilities/id/c24cf4de-1392-43a8-85a5-8c66c00c44d7 |
プラグイン: Advanced Custom Fields: Extended
| 対象製品 | Advanced Custom Fields: Extended |
| 対象バージョン | 0.9.0.5から0.9.1.1までの全てのバージョン |
| 脆弱性概要 | 認証されていない攻撃者が、サーバー上で任意のコードを実行できるようになり、バックドアの注入や新しい管理者ユーザーアカウントの作成に悪用できる。 |
| 詳細 | https://www.wordfence.com/threat-intel/vulnerabilities/id/c508cb73-53e6-4ebe-b3d0-285908b722c9 |
プラグイン: WooCommerce
| 対象製品 | WooCommerce |
| 対象バージョン | 9.3.2までの全てのバージョン 9.4から9.4.2までの全てのバージョン |
| 脆弱性概要 | 認証されていない攻撃者が、リンクをクリックするなどの操作をユーザーに実行させることで、任意のWebスクリプトをページに注入し、実行できる。 |
| 詳細 | https://www.wordfence.com/threat-intel/vulnerabilities/id/cc2ee5bb-eeb8-4134-8f3f-b411e56457f0 |
総括
この期間内に報告された脆弱性10件のうち、4件は認証していない攻撃者 (誰でも攻撃できる) に影響を受ける脆弱性で、6件は少なくとも購読者以上の権限を持つユーザーで認証済の場合に影響を受ける脆弱性でした。
引き続き認証していない攻撃者によって影響を受ける脆弱性が多く報告されています。
深刻度が高くない脆弱性であっても、条件によってはサイトに大きな影響をおよぼす可能性があるものですので、できるだけアップデートを行い、最新版を維持するようにしてください。
