WordPressのプラグイン・テーマの脆弱性情報を公開している Wordfence から、日本の利用者にも影響がありそうなものを中心にピックアップして紹介します。
- 期間: 2026/07/30-2026/08/05 に報告があったもの
- 対象: Wordfenceが公開しているデータフィードより以下の条件を満たすもの
- WordPress.orgにおける "Active installations" が 10万 以上である
- 日本語の翻訳に対応している
深刻度が高い脆弱性: 12件
プラグイン: Loco Translate
| 対象製品 | Loco Translate |
| 対象バージョン | 2.8.5までの全てのバージョン |
| 修正バージョン | 2.8.6 |
| CVSS | 高 (8.8) |
| 脆弱性概要 | 2.8.5までの全てのバージョンにおいて、'execTemplate' 関数のnonce検証の不備により、クロスサイトリクエストフォージェリの脆弱性が存在する。'php://filter' ストリームラッパーがtemplateパラメータとして処理され、パス検証を回避してincludeシンクに直結する。認証されていない攻撃者が、管理者に悪意あるリンクをクリックさせることで、任意のPHPコードを実行することが可能となる。 |
| 対応方法 | 2.8.6以降にアップデートする |
| CVE | https://www.cve.org/CVERecord?id=CVE-2026-15005 |
| 公開日 | 2026-07-15 20:13:46 (2026-07-31 13:28:32更新) |
| 詳細 | https://www.wordfence.com/threat-intel/vulnerabilities/id/241d7a82-5fa5-40e3-9336-823644ca17f0 |
プラグイン: Autoptimize
| 対象製品 | Autoptimize |
| 対象バージョン | 3.1.15までの全てのバージョン(Autoptimize) 2.4.2までの全てのバージョン(Clearfy Cache – WordPress optimization plugin, Minify HTML, CSS & JS, Defer) 7.7.9までの全てのバージョン(Speed Optimizer) |
| 修正バージョン | 3.1.15(Autoptimize) 2.4.2(Clearfy Cache – WordPress optimization plugin, Minify HTML, CSS & JS, Defer) 7.7.9(Speed Optimizer) |
| CVSS | 高 (7.2) |
| 脆弱性概要 | Autoptimize は 3.1.15まで、Clearfy Cache は 2.4.2まで、Speed Optimizer は 7.7.9までの全てのバージョンにおいて、入力サニタイズおよび出力エスケープの不備により、蓄積型クロスサイトスクリプティングの脆弱性が存在する。認証されていない攻撃者が、ページへ任意のウェブスクリプトを挿入し、そのページにアクセスしたユーザーの環境でスクリプトを実行させることが可能となる。 |
| 対応方法 | 3.1.15以降にアップデートする(Autoptimize) 2.4.2以降にアップデートする(Clearfy Cache – WordPress optimization plugin, Minify HTML, CSS & JS, Defer) 7.7.9以降にアップデートする(Speed Optimizer) |
| CVE | https://www.cve.org/CVERecord?id=CVE-2026-3220 |
| 公開日 | 2026-04-27 00:00:00 (2026-07-30 12:39:26更新) |
| 詳細 | https://www.wordfence.com/threat-intel/vulnerabilities/id/44fde2c8-8012-4ede-8455-08b8e744ba36 |
プラグイン: AI Engine
| 対象製品 | AI Engine |
| 対象バージョン | 3.6.5までの全てのバージョン |
| 修正バージョン | 3.6.6 |
| CVSS | 高 (8.8) |
| 脆弱性概要 | 3.6.5までの全てのバージョンにおいて、'reauth_for_authorize' 関数のnonce検証の不備により、クロスサイトリクエストフォージェリの脆弱性が存在する。REST認証が回避され、'?_method=POST' 方式によりGETリクエストをPOSTへ変換できる。認証されていない攻撃者が、管理者にリンクのクリックなどの操作を行わせることで、既存アカウントを必要とせずに攻撃者の認証情報で新規の管理者アカウントを作成することが可能となる。 |
| 対応方法 | 3.6.6以降にアップデートする |
| CVE | https://www.cve.org/CVERecord?id=CVE-2026-15988 |
| 公開日 | 2026-07-31 18:40:58 (2026-08-01 06:48:48更新) |
| 詳細 | https://www.wordfence.com/threat-intel/vulnerabilities/id/45816c45-42bc-4163-b700-a1e913f32c97 |
プラグイン: File Manager Pro
| 対象製品 | File Manager Pro |
| 対象バージョン | 8.0.4までの全てのバージョン(File Manager) 5.4.12までの全てのバージョン(Advanced File Manager – Ultimate File Manager for WordPress And Document Library Solution) 2.1.1までの全てのバージョン(File Manager Pro – Filester) 1.1.9までの全てのバージョン(FileOrganizer – WordPress File Manager) |
| 修正バージョン | 8.0.4(File Manager) 5.4.12(Advanced File Manager – Ultimate File Manager for WordPress And Document Library Solution) 2.1.1(File Manager Pro – Filester) 1.1.9(FileOrganizer – WordPress File Manager) |
| CVSS | 高 (7.2) |
| 脆弱性概要 | File Manager は 8.0.4まで、Advanced File Manager は 5.4.12まで、File Manager Pro (Filester) は 2.1.1まで、FileOrganizer は 1.1.9までの全てのバージョンにおいて、コード生成の制御不備により、リモートコード実行の脆弱性が存在する。管理者以上の権限を持つユーザーで認証済みの場合に、サーバー上でコードを実行することが可能となる。 |
| 対応方法 | 8.0.4以降にアップデートする(File Manager) 5.4.12以降にアップデートする(Advanced File Manager – Ultimate File Manager for WordPress And Document Library Solution) 2.1.1以降にアップデートする(File Manager Pro – Filester) 1.1.9以降にアップデートする(FileOrganizer – WordPress File Manager) |
| CVE | https://www.cve.org/CVERecord?id=CVE-2026-6382 |
| 公開日 | 2026-06-15 00:00:00 (2026-08-03 18:04:18更新) |
| 詳細 | https://www.wordfence.com/threat-intel/vulnerabilities/id/487185ed-d5ff-4658-9210-958e3ba2fe91 |
プラグイン: FluentSMTP
| 対象製品 | FluentSMTP |
| 対象バージョン | 2.2.95までの全てのバージョン |
| 修正バージョン | 2.3.0 |
| CVSS | 高 (7.2) |
| 脆弱性概要 | 2.2.95までの全てのバージョンにおいて、'wp_mail()' の 'to.name' パラメータのサニタイズ不足により、蓄積型クロスサイトスクリプティングの脆弱性が存在する。前へ／次へのナビゲーション経由で 'escapeHtml' のパイプラインが回避される。認証されていない攻撃者が、メールログの受信者表示名を経由して任意のスクリプトを挿入し、管理者がアクセスした際に実行させることが可能となる。ただし悪用にはメール送信が行われる必要がある。 |
| 対応方法 | 2.3.0以降にアップデートする |
| CVE | https://www.cve.org/CVERecord?id=CVE-2026-16636 |
| 公開日 | 2026-08-05 15:10:22 |
| 詳細 | https://www.wordfence.com/threat-intel/vulnerabilities/id/4ad3ed6b-19d4-47c7-a56c-54092c767fe9 |
プラグイン: AI Engine
| 対象製品 | AI Engine |
| 対象バージョン | 3.6.8までの全てのバージョン |
| 修正バージョン | 3.6.9 |
| CVSS | 高 (7.2) |
| 脆弱性概要 | 3.6.8までの全てのバージョンにおいて、入力サニタイズおよび出力エスケープの不備により、蓄積型クロスサイトスクリプティングの脆弱性が存在する。認証されていない攻撃者が、ページへ任意のウェブスクリプトを挿入し、そのページにアクセスしたユーザーの環境でスクリプトを実行させることが可能となる。 |
| 対応方法 | 3.6.9以降にアップデートする |
| CVE | https://www.cve.org/CVERecord?id=CVE-2026-65545 |
| 公開日 | 2026-07-28 00:00:00 (2026-08-04 19:49:30更新) |
| 詳細 | https://www.wordfence.com/threat-intel/vulnerabilities/id/6713c2dc-fc7f-4992-bde7-cfb94c383664 |
プラグイン: GiveWP
| 対象製品 | GiveWP |
| 対象バージョン | 4.16.5までの全てのバージョン |
| 修正バージョン | 4.16.5.1 |
| CVSS | 高 (7.2) |
| 脆弱性概要 | 4.16.5までの全てのバージョンにおいて、入力サニタイズおよび出力エスケープの不備により、蓄積型クロスサイトスクリプティングの脆弱性が存在する。認証されていない攻撃者が、ページへ任意のウェブスクリプトを挿入し、そのページにアクセスしたユーザーの環境でスクリプトを実行させることが可能となる。 |
| 対応方法 | 4.16.5.1以降にアップデートする |
| CVE | https://www.cve.org/CVERecord?id=CVE-2026-66690 |
| 公開日 | 2026-07-31 00:00:00 (2026-08-04 19:35:21更新) |
| 詳細 | https://www.wordfence.com/threat-intel/vulnerabilities/id/82ff0450-5a76-453e-bb27-45c11fff7419 |
プラグイン: Rank Math SEO
| 対象製品 | Rank Math SEO |
| 対象バージョン | 1.0.274.1までの全てのバージョン |
| 修正バージョン | 1.0.275 |
| CVSS | 高 (7.2) |
| 脆弱性概要 | 1.0.274.1までの全てのバージョンにおいて、入力サニタイズおよび出力エスケープの不備により、蓄積型クロスサイトスクリプティングの脆弱性が存在する。認証されていない攻撃者が、ページへ任意のウェブスクリプトを挿入し、そのページにアクセスしたユーザーの環境でスクリプトを実行させることが可能となる。 |
| 対応方法 | 1.0.275以降にアップデートする |
| CVE | https://www.cve.org/CVERecord?id=CVE-2026-66702 |
| 公開日 | 2026-07-31 00:00:00 (2026-08-04 19:36:07更新) |
| 詳細 | https://www.wordfence.com/threat-intel/vulnerabilities/id/90c4441e-3578-4bb0-befe-cfedcb5c1a71 |
プラグイン: Kirki
| 対象製品 | Kirki |
| 対象バージョン | 6.0.11までの全てのバージョン |
| 修正バージョン | 6.0.12 |
| CVSS | 高 (7.2) |
| 脆弱性概要 | 6.0.11までの全てのバージョンにおいて、URL検証の不備により、サーバーサイドリクエストフォージェリの脆弱性が存在する。認証されていない攻撃者が、内部サービスへウェブリクエストを送信し、情報を変更することが可能となる。 |
| 対応方法 | 6.0.12以降にアップデートする |
| CVE | https://www.cve.org/CVERecord?id=CVE-2026-13147 |
| 公開日 | 2026-06-29 00:00:00 (2026-07-30 12:32:54更新) |
| 詳細 | https://www.wordfence.com/threat-intel/vulnerabilities/id/cf346e71-9baa-473b-8a65-1f22dae8118f |
プラグイン: AI Engine
| 対象製品 | AI Engine |
| 対象バージョン | 3.5.4までの全てのバージョン |
| 修正バージョン | 3.5.5 |
| CVSS | 高 (7.2) |
| 脆弱性概要 | 3.5.4までの全てのバージョンにおいて、パス名の制限不備により、ディレクトリトラバーサルの脆弱性が存在する。編集者以上の権限を持つユーザーで認証済みの場合に、任意のファイルを書き込み、リモートコード実行を可能にすることが可能となる。 |
| 対応方法 | 3.5.5以降にアップデートする |
| CVE | https://www.cve.org/CVERecord?id=CVE-2026-12511 |
| 公開日 | 2026-06-23 00:00:00 (2026-07-30 13:28:06更新) |
| 詳細 | https://www.wordfence.com/threat-intel/vulnerabilities/id/ea838c4c-d362-4653-8dc1-5c4dbec19eca |
プラグイン: Paid Membership Plugin, Ecommerce, User Registration Form, Login Form, User Profile & Restrict Content
| 対象製品 | Paid Membership Plugin, Ecommerce, User Registration Form, Login Form, User Profile & Restrict Content |
| 対象バージョン | 4.16.17までの全てのバージョン |
| 修正バージョン | 4.16.18 |
| CVSS | 致命的 (9.8) |
| 脆弱性概要 | 4.16.17までの全てのバージョンにおいて、登録フォーム設定の誤りによる権限割り当ての制御不備により、権限昇格の脆弱性が存在する。認証されていない攻撃者が、権限を昇格させて高権限のロールで登録することが可能となる。ただし悪用には登録フォームの誤設定が存在する必要がある。 |
| 対応方法 | 4.16.18以降にアップデートする |
| CVE | https://www.cve.org/CVERecord?id=CVE-2026-12497 |
| 公開日 | 2026-07-03 00:00:00 (2026-07-30 13:05:23更新) |
| 詳細 | https://www.wordfence.com/threat-intel/vulnerabilities/id/f53f35c4-6825-448f-a101-1439fdd63cfe |
プラグイン: Forminator Forms
| 対象製品 | Forminator Forms |
| 対象バージョン | 1.56.1までの全てのバージョン |
| 修正バージョン | 1.56.2 |
| CVSS | 高 (7.2) |
| 脆弱性概要 | 1.56.1までの全てのバージョンにおいて、'Forminator_Core::sanitize_array()' が 'select-' プレフィックスを無視し、'set_field_data()' が 'return' メンバーを信頼済みとして扱うことにより、Selectフィールド経由でアップロード記録を偽造できる蓄積型クロスサイトスクリプティングの脆弱性が存在する。認証されていない攻撃者が、完全なアップロード記録を偽造して永続化し、任意のファイルURLを設定することが可能となる。 |
| 対応方法 | 1.56.2以降にアップデートする |
| CVE | https://www.cve.org/CVERecord?id=CVE-2026-18325 |
| 公開日 | 2026-08-05 15:00:13 |
| 詳細 | https://www.wordfence.com/threat-intel/vulnerabilities/id/fd9a81eb-2211-42e9-a456-fb60f3ca2c0f |
他の脆弱性: 28件
プラグイン: Kirki
| 対象製品 | Kirki |
| 対象バージョン | 6.0.13までの全てのバージョン |
| 脆弱性概要 | 編集者以上の権限を持つユーザーで認証済みの場合に、'family' パラメータにおけるパス検証の不十分さを通じて、サーバー上の任意のディレクトリを削除し、データ損失とサービス可用性の喪失を引き起こすことが可能となる。 |
| 詳細 | https://www.wordfence.com/threat-intel/vulnerabilities/id/01a52285-2d0c-4b29-8dab-18a3e3640e5c |
プラグイン: Fluent Forms
| 対象製品 | Fluent Forms |
| 対象バージョン | 6.2.6までの全てのバージョン |
| 脆弱性概要 | 寄稿者以上の権限を持つユーザーで認証済みの場合に、入力サニタイズと出力エスケープの不足を通じて、ページへ任意のウェブスクリプトを挿入し、そのページにアクセスしたユーザーの環境で実行させることが可能となる。 |
| 詳細 | https://www.wordfence.com/threat-intel/vulnerabilities/id/21718974-6229-42ee-be71-fbd14be190d2 |
プラグイン: Appointment Booking Plugin
| 対象製品 | Appointment Booking Plugin |
| 対象バージョン | 5.3.2までの全てのバージョン |
| 脆弱性概要 | 寄稿者以上の権限を持つユーザーで認証済みの場合に、'latepoint_resources' ショートコードの 'btn_wrapper_classes' 属性における入力サニタイズとエスケープの欠如を通じて、当該ショートコードを含むページへスクリプトを挿入し、訪問者の環境で悪意あるコードを実行させることが可能となる。 |
| 詳細 | https://www.wordfence.com/threat-intel/vulnerabilities/id/25ea860e-c4f8-4660-a8cb-aafc4d02bb19 |
プラグイン: AI Engine
| 対象製品 | AI Engine |
| 対象バージョン | 3.5.4までの全てのバージョン |
| 脆弱性概要 | カスタムロール以上の権限を持つユーザーで認証済みの場合に、ユーザーが制御可能なキーの検証漏れを通じて、他ユーザーのチャットボットの会話記録にアクセスし、機密情報を露出させることが可能となる。 |
| 詳細 | https://www.wordfence.com/threat-intel/vulnerabilities/id/2bc2c2f8-fb1c-4c37-83d1-d05abd17fbeb |
プラグイン: Smash Balloon Social Photo Feed
| 対象製品 | Smash Balloon Social Photo Feed |
| 対象バージョン | 6.11.3までの全てのバージョン |
| 脆弱性概要 | 認証されていない攻撃者が、REQUEST_URIのクエリ文字列への入力サニタイズとエスケープの不足を通じて、クエリ文字列に悪意あるスクリプトを埋め込み、ユーザーをリンクへ誘導することで、そのユーザーの環境でスクリプトを実行させることが可能となる。 |
| 詳細 | https://www.wordfence.com/threat-intel/vulnerabilities/id/33f1d8b9-3561-4347-8267-8c36d4c9071f |
プラグイン: Slider, Gallery, and Carousel by MetaSlider
| 対象製品 | Slider, Gallery, and Carousel by MetaSlider |
| 対象バージョン | 3.111.0までの全てのバージョン |
| 脆弱性概要 | カスタムロール以上（投稿者権限から可能）の権限を持つユーザーで認証済みの場合に、'delay' 投稿メタ設定におけるサニタイズとエスケープの欠如を通じて、XML-RPC経由で保護されていない 'ml-slider_settings' メタキーを設定し、'ml-slider' カスタム投稿タイプへスクリプトを挿入して、ページ訪問時に実行させることが可能となる。ただし悪用には投稿者権限でXML-RPCにアクセスできる環境である必要がある。 |
| 詳細 | https://www.wordfence.com/threat-intel/vulnerabilities/id/3f0082c6-c040-4244-be7b-b133fd24d093 |
プラグイン: GenerateBlocks
| 対象製品 | GenerateBlocks |
| 対象バージョン | 2.3.0までの全てのバージョン |
| 脆弱性概要 | 寄稿者以上の権限を持つユーザーで認証済みの場合に、動的タグ '{{post_meta key:…}}' が 'title'・'aria-label'・'alt'・'data-*' などのHTML属性へ挿入されることを通じて、カスタムフィールドから設定した保護されていない投稿メタキーを悪用し、HTML属性値に閉じ引用符とイベントハンドラ属性を注入して、ブロック表示時にスクリプトを実行させることが可能となる。ただし悪用には保護されていないメタキーが存在する必要がある。 |
| 詳細 | https://www.wordfence.com/threat-intel/vulnerabilities/id/402e10b4-84f0-4f93-a85c-037876d26e58 |
プラグイン: GiveWP
| 対象製品 | GiveWP |
| 対象バージョン | 4.16.3までの全てのバージョン |
| 脆弱性概要 | カスタムロール以上の権限を持つユーザーで認証済みの場合に、入力サニタイズと出力エスケープの不足を通じて、ページへ任意のスクリプトを挿入し、そのページにアクセスしたユーザーの環境で実行させることが可能となる。 |
| 詳細 | https://www.wordfence.com/threat-intel/vulnerabilities/id/463fea25-c793-42fc-a8a8-28d001978133 |
プラグイン: Kirki
| 対象製品 | Kirki |
| 対象バージョン | 6.0.13までの全てのバージョン |
| 脆弱性概要 | カスタムロール以上の権限を持つユーザーで認証済みの場合に、'extract_zip_file' 関数においてユーザーが供給したapp srcからZIPをダウンロード・展開する際にエントリ名のパス検証が行われないこと（Zip Slip）を通じて、サーバー上の任意の位置にファイルを書き込み、リモートコード実行へ発展させることが可能となる。 |
| 詳細 | https://www.wordfence.com/threat-intel/vulnerabilities/id/4ccd1314-b9b9-4f63-820c-2817a4932ee8 |
プラグイン: Relevanssi
| 対象製品 | Relevanssi |
| 対象バージョン | 4.27.1までの全てのバージョン(Relevanssi – A Better Search) 2.30.2までの全てのバージョン(Relevanssi Premium – A Better Search) |
| 脆弱性概要 | 寄稿者以上（'edit_posts' 権限を保持する）の権限を持つユーザーで認証済みの場合に、管理画面検索のAJAXハンドラーがURLエンコードされた 'args' パラメータをパースした後、ユーザーが制御するタクソノミーデータをパラメータ化せずにSQLクエリへ直接補間することを通じて、時間ベースのブラインドSQLインジェクションを実行し、データベースから情報を抽出することが可能となる。 |
| 詳細 | https://www.wordfence.com/threat-intel/vulnerabilities/id/4f96b87a-1405-4cf6-b903-ad0c7c8e2826 |
プラグイン: Fluent Forms
| 対象製品 | Fluent Forms |
| 対象バージョン | 6.2.8までの全てのバージョン |
| 脆弱性概要 | 認証されていない攻撃者が、'param' パラメータへの入力サニタイズとエスケープの不足を通じて、クエリ文字列に悪意あるスクリプトを埋め込み、ユーザーをリンクへ誘導することで実行させることが可能となる。 |
| 詳細 | https://www.wordfence.com/threat-intel/vulnerabilities/id/547008fe-2585-4089-a710-71a83ae3d829 |
プラグイン: Fluent Forms
| 対象製品 | Fluent Forms |
| 対象バージョン | 6.2.8までの全てのバージョン |
| 脆弱性概要 | 認証されていない攻撃者が、'transaction' パラメータのユーザー制御キーに対する検証漏れを通じて、トランザクションハッシュをブルートフォース（実効的な探索空間は毎秒約900候補）し、他ユーザーの支払い領収書データ（顧客名・メールアドレス・請求先住所・注文品目・支払方法・ステータス）にアクセスすることが可能となる。ただし悪用には送信ID・フォームID・トランザクション生成時刻が観測または推測可能である必要がある。 |
| 詳細 | https://www.wordfence.com/threat-intel/vulnerabilities/id/565980d7-8dc9-42a4-90c5-2f75af52fb8e |
プラグイン: W3 Total Cache
| 対象製品 | W3 Total Cache |
| 対象バージョン | 2.10.2までの全てのバージョン |
| 脆弱性概要 | 認証されていない攻撃者が、パストラバーサル処理における検証の不足を通じて、意図したディレクトリ外のファイルに対して読み取りなどの操作を行うことが可能となる。 |
| 詳細 | https://www.wordfence.com/threat-intel/vulnerabilities/id/60878165-d4cc-4ea1-acf7-9bb6fd48795b |
プラグイン: WPvivid — Backup, Migration & Staging
| 対象製品 | WPvivid — Backup, Migration & Staging |
| 対象バージョン | 0.9.131までの全てのバージョン |
| 脆弱性概要 | 管理者以上の権限を持つユーザーで認証済みの場合に、'prepare_export_post()' 関数における 'export_data' パラメータのエスケープ不足を通じて、JSONデコード後に攻撃者が制御するキーが整数キャストされずに 'WHERE ID IN (…)' 句へ直接補間されることを悪用し、追加のSQLクエリを挿入してデータベースから情報を抽出することが可能となる。 |
| 詳細 | https://www.wordfence.com/threat-intel/vulnerabilities/id/7130f325-a0c4-479d-ac85-94542bdb5a79 |
プラグイン: Conditional Fields for Contact Form 7
| 対象製品 | Conditional Fields for Contact Form 7 |
| 対象バージョン | 2.7.2までの全てのバージョン |
| 脆弱性概要 | 認証されていない攻撃者が、サーバーリソースを枯渇させ、サービス拒否を引き起こすことが可能となる。 |
| 詳細 | https://www.wordfence.com/threat-intel/vulnerabilities/id/773e2c1f-cebb-46b8-a073-98814c274b8f |
プラグイン: Download Manager
| 対象製品 | Download Manager |
| 対象バージョン | 3.3.66までの全てのバージョン |
| 脆弱性概要 | 寄稿者以上の権限を持つユーザーで認証済みの場合に、'icon' ショートコード属性における入力サニタイズと出力エスケープの不足を通じて、'wp_kses_post()' がレンダリング時のショートコード属性値を処理しないことを悪用し、ページへ任意のウェブスクリプトを挿入して、そのページにアクセスしたユーザーの環境で実行させることが可能となる。 |
| 詳細 | https://www.wordfence.com/threat-intel/vulnerabilities/id/7a32393e-f233-4ab6-addc-9dd1e04c0e0a |
プラグイン: Admin and Site Enhancements (ASE)
| 対象製品 | Admin and Site Enhancements (ASE) |
| 対象バージョン | 8.8.3までの全てのバージョン(Admin and Site Enhancements (ASE)) 8.8.3までの全てのバージョン(Admin and Site Enhancements (ASE) Pro) |
| 脆弱性概要 | 認証されていない攻撃者が、'reset-for' エンドポイントにおける権限チェックの欠落を通じて、以前保持していたロールを再度有効化することが可能となる。ただし悪用には攻撃者が以前そのロールを保持していた必要がある。 |
| 詳細 | https://www.wordfence.com/threat-intel/vulnerabilities/id/7c4c6b46-0858-46c0-8f33-47d2429d848c |
プラグイン: All-in-One WP Migration and Backup
| 対象製品 | All-in-One WP Migration and Backup |
| 対象バージョン | 7.105までの全てのバージョン |
| 脆弱性概要 | 認証されていない攻撃者が、関数における権限チェックの欠落を通じて、任意の位置へログを書き込むことが可能となる。 |
| 詳細 | https://www.wordfence.com/threat-intel/vulnerabilities/id/95cb607f-f110-416b-b9e4-87a68710f230 |
プラグイン: Elementor Website Builder
| 対象製品 | Elementor Website Builder |
| 対象バージョン | 4.1.3までの全てのバージョン |
| 脆弱性概要 | 寄稿者以上の権限を持つユーザーで認証済みの場合に、機密性の高いユーザー情報または設定データを抽出することが可能となる。 |
| 詳細 | https://www.wordfence.com/threat-intel/vulnerabilities/id/9f34a917-1c96-4f2a-b496-8ff848cdc314 |
プラグイン: PrettyLinks
| 対象製品 | PrettyLinks |
| 対象バージョン | 3.6.20までの全てのバージョン |
| 脆弱性概要 | 管理者以上の権限を持つユーザーで認証済みの場合に、Pretty Linksの一覧ページの 's'（検索）パラメータにおけるエスケープ不足を通じて、'search_links_table()' 関数でユーザー供給パラメータのサニタイズが不十分であり '$wpdb->prepare()' や 'esc_sql()' が使用されていないことを悪用し、既存のクエリに追加のSQLを注入してデータベースから機密情報を取得することが可能となる。 |
| 詳細 | https://www.wordfence.com/threat-intel/vulnerabilities/id/a2399535-c293-4b06-8ef4-1706bbe12bf7 |
プラグイン: WooCommerce PayPal Payments
| 対象製品 | WooCommerce PayPal Payments |
| 対象バージョン | 3.3.2までの全てのバージョン |
| 脆弱性概要 | 認証されていない攻撃者が、'enqueue_paypal_insights_script_on_order_received()' 関数におけるユーザー制御キーの検証欠落を通じて、注文キーを取得し、その後WooCommerce Store API経由で完全な顧客の請求詳細（氏名・メールアドレス・電話番号・住所）にアクセスすることが可能となる。ただし悪用は注文作成から10分以内である必要がある。 |
| 詳細 | https://www.wordfence.com/threat-intel/vulnerabilities/id/a2919bbc-c4c2-4b52-90ec-2471218cd7d1 |
プラグイン: Tutor LMS
| 対象製品 | Tutor LMS |
| 対象バージョン | 3.9.12までの全てのバージョン |
| 脆弱性概要 | 購読者以上の権限を持つユーザーで認証済みの場合に、権限のないコースへ登録し、非公開コンテンツへアクセスすることが可能となる。 |
| 詳細 | https://www.wordfence.com/threat-intel/vulnerabilities/id/b37ee395-aad8-4908-b3f7-c9f68ed4a4e6 |
プラグイン: Ad Inserter
| 対象製品 | Ad Inserter |
| 対象バージョン | 2.8.16までの全てのバージョン |
| 脆弱性概要 | 認証されていない攻撃者が、'ai_ajax' 関数における権限チェックの欠落を通じて、管理者のみに制限された広告ブロックの内容を閲覧することが可能となる。 |
| 詳細 | https://www.wordfence.com/threat-intel/vulnerabilities/id/b5715acd-62e6-4cd8-8fe8-4b1412f287c9 |
プラグイン: Tutor LMS
| 対象製品 | Tutor LMS |
| 対象バージョン | 4.0.0までの全てのバージョン |
| 脆弱性概要 | 購読者以上の権限を持つユーザーで認証済みの場合に、関数における権限チェックの欠落を通じて、権限のない操作を実行することが可能となる。 |
| 詳細 | https://www.wordfence.com/threat-intel/vulnerabilities/id/b75789ff-6050-4044-a3ff-d071591b4ec6 |
プラグイン: Tutor LMS
| 対象製品 | Tutor LMS |
| 対象バージョン | 3.9.12までの全てのバージョン |
| 脆弱性概要 | 購読者以上の権限を持つユーザーで認証済みの場合に、関数における権限チェックの欠落を通じて、承認なしでコメントを作成することが可能となる。 |
| 詳細 | https://www.wordfence.com/threat-intel/vulnerabilities/id/c4b01e7d-1c6d-4252-95a4-13f4e486b643 |
プラグイン: Kirki
| 対象製品 | Kirki |
| 対象バージョン | 6.0.11までの全てのバージョン |
| 脆弱性概要 | 認証されていない攻撃者が、パスワードリセットメールへHTMLを注入することが可能となる。 |
| 詳細 | https://www.wordfence.com/threat-intel/vulnerabilities/id/e70ada17-f129-4675-93b4-a41a7ea93833 |
プラグイン: WP 2FA
| 対象製品 | WP 2FA |
| 対象バージョン | 3.1.1.1までの全てのバージョン |
| 脆弱性概要 | 購読者以上の権限を持つユーザーで認証済みの場合に、二要素認証の登録時のメール検証が不十分であることを通じて、他ユーザーの検証を完了させ、そのアカウントへのアクセスを獲得することが可能となる。 |
| 詳細 | https://www.wordfence.com/threat-intel/vulnerabilities/id/f3063e92-e152-440d-bf02-b852ff87e319 |
プラグイン: Tutor LMS
| 対象製品 | Tutor LMS |
| 対象バージョン | 3.9.12までの全てのバージョン |
| 脆弱性概要 | 購読者以上の権限を持つユーザーで認証済みの場合に、ユーザーが制御可能なキーの検証欠落を通じて、クイズの試行を改ざんすることが可能となる。 |
| 詳細 | https://www.wordfence.com/threat-intel/vulnerabilities/id/fa9a8227-6e2a-4375-9672-20290ece292c |
総括
この期間内に報告された脆弱性40件のうち、20件は認証されていない攻撃者に影響を受ける脆弱性で、20件は少なくとも購読者以上の権限を持つユーザーで認証済の場合に影響を受ける脆弱性でした。件数が多いため、以下では深刻度の区分を横断し、想定される影響ごとに整理します。
サイトの乗っ取り・サーバー侵害につながるもの
最も影響が大きいグループです。いずれも成立するとサイトの管理権限やサーバー上のコード実行を奪われます。
- Paid Membership Plugin（ProfilePress） — 権限昇格（CVSS 9.8）。登録フォームの設定誤りにより、認証不要で高権限ロールとして登録できます。
- AI Engine — CSRF（CVSS 8.8）。管理者にリンクをクリックさせるだけで、攻撃者の認証情報を持つ新規管理者アカウントが作成されます。
- Loco Translate — CSRF（CVSS 8.8）。同じく管理者を誘導することで、'php://filter' 経由の任意PHPコード実行に至ります。
- ファイルマネージャ系4プラグイン（File Manager／Advanced File Manager／File Manager Pro (Filester)／FileOrganizer）— リモートコード実行（CVSS 7.2）。管理者権限が前提です。
- AI Engine — ディレクトリトラバーサル（CVSS 7.2）。編集者権限で任意ファイルを書き込め、リモートコード実行へ発展します。
- Kirki — パストラバーサル（Zip Slip）。ZIP展開時のエントリ名検証がなく、任意位置へのファイル書き込みからリモートコード実行へ発展します。
- WP 2FA — アカウント乗っ取り。二要素認証の登録時のメール検証が不十分で、購読者権限で他ユーザーのアカウントを掌握できます。認証基盤そのものが対象である点で特に重大です。
個人情報・機密データの漏洩につながるもの
決済情報や顧客情報など、漏洩時の影響が大きいものが含まれます。
- WooCommerce PayPal Payments — IDOR。注文作成から10分以内という条件下で、注文キーを起点に WooCommerce Store API 経由で氏名・メールアドレス・電話番号・住所を取得できます。認証は不要です。
- Fluent Forms — IDOR。トランザクションハッシュのブルートフォース（毎秒約900候補）により、他ユーザーの支払い領収書データにアクセスできます。認証は不要です。
- SQLインジェクション3件 — Relevanssi（寄稿者以上）、WPvivid（管理者以上）、PrettyLinks（管理者以上）。いずれもデータベースからの情報抽出につながります。
- Kirki — SSRF。認証不要で内部サービスへリクエストを送信し、情報を変更できます。
- W3 Total Cache — パストラバーサル。認証不要で意図したディレクトリ外のファイルを読み取れます。
- このほか AI Engine（他ユーザーのチャット履歴）、Ad Inserter（管理者限定の広告設定）、Elementor Website Builder、Tutor LMS（非公開コース）でも情報の露出が報告されています。
コンテンツ改ざん・スクリプト注入（XSS）
件数として最も多いグループです。閲覧者や管理者の環境でスクリプトが実行され、セッション奪取や二次被害の起点となります。
- 認証不要で悪用可能なもの — Autoptimize／Clearfy Cache／Speed Optimizer、FluentSMTP（メールログの受信者表示名経由で管理者画面に到達）、AI Engine、GiveWP、Rank Math SEO、Forminator Forms（アップロード記録の偽造）、Smash Balloon Social Photo Feed、Fluent Forms。
- 寄稿者以上の権限が必要なもの — Fluent Forms、Appointment Booking Plugin、MetaSlider（XML-RPC経由）、GenerateBlocks（動的タグからHTML属性へ注入）、GiveWP、Download Manager。
設定変更・サービス妨害につながるもの
- Kirki — 編集者権限でサーバー上の任意ディレクトリを削除でき、データ損失と可用性の喪失を招きます。
- All-in-One WP Migration and Backup — 認証不要で任意の位置へログを書き込めます。
- Admin and Site Enhancements — 認証不要で、以前保持していたロールを再度有効化できます。
- Kirki — 認証不要でパスワードリセットメールにHTMLを注入でき、フィッシングの起点となりえます。
- Conditional Fields for Contact Form 7 — 認証不要でサーバーリソースを枯渇させ、サービス拒否を引き起こします。
- Tutor LMS — 購読者権限で承認なしのコメント作成やクイズ試行の改ざんが可能です。
複数の脆弱性が集中しているプラグイン
今回は AI Engine が4件、Kirki が4件、Tutor LMS が4件、Fluent Forms が3件と、同一プラグインに問題が集中しています。
対応としては、該当プラグインを速やかに修正バージョンへ更新したうえで、管理者・編集者権限アカウントの棚卸し、会員登録フォームのロール設定、XML-RPC の利用状況、ファイルマネージャ系プラグインの導入要否、決済・フォーム関連プラグインの所有権チェック、二要素認証の登録状況を確認してください。
全体として、未認証または低権限から悪用可能な脆弱性が多く報告されています。アップデートとともに、不要なプラグインの無効化、WAFの適用などの対策を実施することが重要です。
