2025年12月25日～2026年1月7日に報告があったWordPress関連の脆弱性情報

こんにちは。プライム・ストラテジーの相馬理紗です。遅くなりましたが、本年もどうぞよろしくお願いいたします。

今回も深刻度が高い脆弱性が3件と多く報告されています。本稿で紹介している情報をチェックして終わるのではなく、プラグイン・テーマの更新までしっかり対応してくださいね。

今回は、2025年12月11日～2025年12月17日に報告があったWordPressの脆弱性のうち、WordPressのプラグイン・テーマの脆弱性情報を公開しているWordfence が公開しているデータフィードより、以下の条件を満たすものを紹介します。

• WordPress.orgにおける“Active installations"が10万以上である
• 日本語の翻訳に対応している

深刻度が高い脆弱性：3件

深刻度が高い脆弱性は3件でした。

プラグイン: Download Manager

3.3.40までの全バージョンに、アカウント乗っ取りによる権限昇格の脆弱性が存在します。これは、パスワードなどの詳細情報を更新する前に、プラグインがユーザーの身元を適切に検証しないことに起因します。

認証を受けていないユーザーが管理者以外のユーザーのパスワードを変更し、それを悪用してアカウントへのアクセス権を取得することが可能となります。

プラグイン: Ninja Forms

3.13.2までの全バージョンに、 /ninja-forms-views/token/refresh 関数に対する権限チェックが欠落しているため、データへの不正アクセスを可能にする脆弱性が存在します。

認証を受けていないユーザーがトークンを生成し、任意のフォーム送信内容を閲覧することが可能となります。

プラグイン: Advanced Ads - Ad Manager & AdSense

2.0.14までの全バージョンにおいて、「change-ad__content」ショートコードパラメータを介したリモートコード実行の脆弱性が存在します。 編集者以上の権限を持つユーザーで認証済みの場合に、サーバー上でコードを実行することが可能となります。

他の脆弱性: 7件

他の脆弱性は7件です。

プラグイン: Tutor LMS

購読者以上の権限を持つユーザーで認証済みの場合に、攻撃者が注文IDを列挙し、学生名、メールアドレス、電話番号、請求先住所などの機密データ（個人識別情報）を不正に取得することが可能となります。

プラグイン: Crowdsignal Forms

投稿者以上の権限を持つユーザーで認証済みの場合に、不正な操作を実行することが可能となります。

プラグイン: Astra Widgets

編集者以上の権限を持つユーザーで認証済の場合に、ユーザーが挿入されたページにアクセスするたびに実行される、任意のウェブスクリプトをページに挿入できる。これはマルチサイトでインストールされている場合と、unfiltered_htmlを無効にしてインストールされている場合にのみ影響する。

プラグイン: WebP Express

認証されていないユーザーが、設定データを抽出することが可能となります。

プラグイン: TI WooCommerce Wishlist

認証されていないユーザーが、不正な操作を実行することが可能となります。

プラグイン: GiveWP

認証されていないユーザーがリンクをクリックするなどの操作を管理者に実行させることで、不正な操作を実行できるようになります。

プラグイン: Fluent Forms

購読者以上の権限を持つユーザーで認証済の場合に、公開されているAI builderを通じて任意のフォームを作成することが可能となります。

総括

今回は、年末年始の休業があったため、2週間分の情報をまとめてお届けしました。

2025年12月25日～2026年1月7日に報告された脆弱性10件のうち、5件は認証を受けていないユーザー (誰でも攻撃できる) に影響を及ぼす脆弱性で、5件は少なくとも購読者以上の権限を持つユーザーで認証済の場合に影響を及ぼす脆弱性でした。

操作の内容が限られてはいるものの、誰もが悪用できる脆弱性が多く報告されています。速やかにアップデートを適用し、最新版を維持するようにしてください。

また、認証済のユーザーが悪用できる脆弱性への対策としても、引き続き、管理画面を保護する、強固なパスワードを利用するなどの基本的な対策を行ってください。