2025年10月30日～2025年11月5日に報告があった WordPress脆弱性関連情報」

こんにちは。プライム・ストラテジーの相馬理紗です。

WordPress6.9が、12月2日にリリースされる予定です。現在ベータ版が徐々に公開されています。WordPressのメジャーアップデートは表示崩れやプラグインとの互換性などがあり、重いタスクになってしまうかと思いますが、事前準備（バックアップ等）をしたうえでアップデートの対応をしてくださいね。

今回は、2025年10月30日～2025年11月5日に報告があったWordPressの脆弱性のうち、WordPressのプラグイン・テーマの脆弱性情報を公開しているWordfence が公開しているデータフィードより、以下の条件を満たすものを紹介します。 - WordPress.orgにおける“Active installations"が10万以上である - 日本語の翻訳に対応している

深刻度が高い脆弱性：3件

深刻度が高い脆弱性は3件でした。

プラグイン: Advanced Ads - Ad Manager & AdSense

2.0.12までの全バージョンに、selectone()関数経由で脆弱性が存在します。これは、AJAXエンドポイントへのアクセスを適切に制限せず、安全な関数のみを呼び出せるように制限していないためです。この脆弱性を悪用することで、認証を受けてない第三者がgettheで始まる任意の関数（例：getthe_excerpt）を呼び出すことが可能となり、情報漏洩を引き起こせます。

プラグイン: The Events Calendar

6.15.1.1から6.15.9のバージョンに、ユーザー提供パラメータのエスケープ処理が不十分であることと、既存のSQLクエリの事前処理が不十分であるため、's'パラメータを介したブラインドSQLインジェクションの脆弱性が存在します。この脆弱性により、認証を受けてない第三者が既存のクエリに追加のSQLクエリを付加することが可能となり、データベースから機密情報を抽出するために悪用できます。

プラグイン: Polylang

3.7.3までの全バージョンに、信頼できない入力の逆シリアライズを介したPHPオブジェクトインジェクションの脆弱性が存在します。寄稿者以上の権限を持つユーザーで認証済の場合に、任意のPHPオブジェクトを挿入できます。なお、このプラグイン単体にはPOPチェインはありません。つまり、WebサイトにPOPチェインを持つ他のプラグインやテーマが存在しない限り、この脆弱性の影響はありません。

もしも、他にインストールされたプラグインやテーマにPOPチェインが存在する場合、攻撃者はそのPOPチェインによっては任意のファイルを削除したり、機密性のデータを取得したり、PHPコードを実行したりすることができます。

他の脆弱性: 15件

他の脆弱性は15件です。

プラグイン: AI Engine

認証を受けてない第三者が 'Bearer Token' を抽出することが可能となり、このトークンを使用して有効なセッションにアクセスし、新しい管理者アカウントの作成など多くの操作を実行できるため、権限昇格につながります。

プラグイン: WooCommerce

ショップ運営者 (shop-manager) 以上の権限を持つユーザーで認証済の場合に、ユーザーが挿入されたページにアクセスするたびにウェブスクリプトが実行される、任意のウェブスクリプトをページに挿入できます。これはマルチサイトでインストールされている場合と、unfiltered_htmlを無効にしてインストールされている場合にのみ影響します。

プラグイン: Gutenberg

寄稿者以上の権限を持つユーザーで認証済の場合に、ユーザーが挿入されたページにアクセスするたびにウェブスクリプトが実行される、任意のウェブスクリプトをページに挿入できます。

プラグイン: Post SMTP

認証を受けてない第三者が、Post SMTPプラグイン経由で送信された任意のログ記録済みメール（パスワードリセットリンクを含むパスワードリセットメールを含む）を読み取る可能性があり、アカウント乗っ取りにつながる可能性があります。

プラグイン: TablePress

寄稿者以上の権限を持つユーザーで認証済の場合に、ユーザーが挿入されたページにアクセスするたびにウェブスクリプトが実行される、任意のウェブスクリプトをページに挿入できます。

プラグイン: Advanced Database Cleaner

認証を受けてない第三者が、リンクをクリックするなどの操作を管理者に実行させることで、 keep lastの設定を変更することが可能となります。CVE-2025-64357はこの問題の報告と重複します。

プラグイン: Sticky Header Effects for Elementor

寄稿者以上の権限を持つユーザーで認証済の場合に、許可されていないアクションを実行できます。

プラグイン: WP Fastest Cache

認証を受けてない第三者が、既存のSQLクエリに追加のSQLクエリを付加することで機密情報をデータベースから抜き出すことが可能となります。

プラグイン: Ad Inserter

寄稿者以上の権限を持つユーザーで認証済の場合に、ユーザーが挿入されたページにアクセスするたびにウェブスクリプトが実行される、任意のウェブスクリプトをページに挿入できます。

プラグイン: The Events Calendar

購読者以上の権限を持つユーザーで認証済の場合に、イベント名のドラフトを表示し、対応するQRコードを生成・表示することができます。

プラグイン: Popup and Slider Builder by Depicter

寄稿者以上の権限を持つユーザーで認証済の場合に、影響を受けるサイトのサーバに限定してファイルをアップロードすることが可能となります。

プラグイン: Popup and Slider Builder by Depicter

認証を受けてない第三者が、リンクをクリックするなどの操作を管理者に実行させることで、 ドキュメントルールの設定を変更することが可能となります。

プラグイン: Rank Math SEO

投稿者以上の権限を持つユーザーで認証済の場合に、許可されていないアクションを実行できます。

プラグイン: The Events Calendar

認証を受けてない第三者が、 "Yes, automatically share my system information with The Events Calendar support team" 設定が有効な場合に、ブール値 (boolean value) を送信して完全なシステムレポートを取得できます。

プラグイン: Rank Math SEO

購読者以上の権限を持つユーザーで認証済の場合に、機密性の高いユーザー情報や設定情報を抽出することが可能となります。

総括

2025年10月30日～2025年11月5日に報告された脆弱性18件のうち、8件は認証を受けていない第三者 (誰でも攻撃できる) に影響を及ぼす脆弱性で、10件は少なくとも購読者以上の権限を持つユーザーで認証済の場合に影響を及ぼす脆弱性でした。

深刻度が高い脆弱性を含めて、誰もが悪用して攻撃を引き起こせる脆弱性が多く報告されています。深刻度が高くない脆弱性も含めて、速やかにアップデートを適用するようにしてください。

今回報告されている深刻度が高い脆弱性のうち、POPチェイン、ブラインドSQLインジェクションについては以前の説明を参照してください。