2025年10月2日～2025年10月8日に報告があったWordPress関連の脆弱性情報

こんにちは。プライム・ストラテジーの相馬理紗です。

WordPressのアップデートは済んでいますか? 2025年9月30日に、マイナーアップデート「WordPress 6.8.3」がリリースされました。こちらのアップデートはセキュリティの対応となります。アップデートがまだの方は早急に対応してくださいね。

今回は、2025年10月2日～2025年10月8日に報告があったWordPressの脆弱性のうち、WordPressのプラグイン・テーマの脆弱性情報を公開しているWordfence が公開しているデータフィードより、以下の条件を満たすものを紹介します。 - WordPress.orgにおける“Active installations"が10万以上である - 日本語の翻訳に対応している

他の脆弱性：11件

今回、深刻度が高い脆弱性はなかったので、他の脆弱性を11件紹介します。

コア: WordPress

寄稿者以上の権限を持つユーザーで認証済の場合に、本来アクセス権限のない投稿から情報を抽出することが可能となります。

コア: WordPress

投稿者以上の権限を持つユーザーで認証済の場合に、ユーザーが挿入されたページにアクセスするたびにウェブスクリプトが実行され、任意のウェブスクリプトをページに挿入可能になります。

プラグイン: All in One SEO

寄稿者以上の権限を持つユーザーで認証済の場合に、許可されていない操作を実行できます。

プラグイン: GiveWP

認証を受けていない第三者が、非公開および下書きの寄付フォームやアーカイブされたキャンペーンからデータを抽出できます。

プラグイン: Sticky Header Effects for Elementor

寄稿者以上の権限を持つユーザーで認証済の場合に、許可されていない操作を実行できます。

プラグイン: WP Go Maps (formerly WP Google Maps)

認証を受けていない第三者が、CSRF攻撃を通じてログイン中の管理者にマーカーやジオメトリ要素の作成・更新・削除を強制することが可能となり、匿名ユーザーが安全でないGETリクエストによってマーカーの一括削除を引き起こせるようになります。

プラグイン: WP Reset

認証を受けていない第三者が、機密性の高いライセンスキーやサイトデータを抽出できます。

プラグイン: All in One SEO

寄稿者以上の権限を持つユーザーで認証済の場合に、機密性の高いユーザーデータや設定データを抽出できます。

プラグイン: GiveWP

認証を受けていない第三者が、任意の寄付フォームを任意のキャンペーンに関連付けることができます。

プラグイン: Download Manager

認証を受けていない第三者が、機密性の高いユーザーデータや設定データを抽出できます。

プラグイン: Download Manager

認証を受けていない第三者が、サイト管理者をだましてリンクをクリックするといったアクションを実行させることで、偽造されたリクエストを通じて許可されていない操作を実行できます。

総括

10月2日～10月8日に報告された脆弱性11件のうち、6件は認証を受けていない第三者が(誰でも攻撃できる) に影響を及ぼす脆弱性で、5件は少なくとも購読者以上の権限を持つユーザーで認証済の場合に影響を及ぼす脆弱性でした。

今回も認証を受けていない第三者、つまり、誰でも悪用可能な脆弱性が多く報告されました。深刻度が高い脆弱性はありませんでしたが、他の脆弱性を抱えるプラグインを使用している場合は速やかにアップデートを適用するようにしてください。

WordPressコアの脆弱性2件は前回の報告を更新したものです。既にアップデートが提供されていますので、それぞれのWordPressのメジャーバージョンに対応する、最新のWordPressのマイナーアップデートを適用するようにしてください。

なお、WordPressにはコアを自動更新する機能があります。デフォルトでは有効になっていますので、アップデートに追従できるようにしておきましょう。