2025年5月15日～2025年5月21日までに報告されたWordPress関連の脆弱性情報

こんにちは。プライム・ストラテジーの相馬理紗です。

WordPressのプラグイン・テーマの脆弱性情報を公開しているWebサイト「Wordfence」から、日本の利用者にも影響がありそうなものを中心に紹介する本連載。

今回は、2025年5月15日～2025年5月21日までに報告されたWordPress脆弱性のうち、Wordfenceが公開しているデータフィードより以下の条件を満たすものを紹介します。

• WordPress.orgにおける“Active installations"が10万以上である
• 日本語の翻訳に対応している

深刻度が高い脆弱性:2件

深刻度が高い脆弱性は2件です。

プラグイン:Relevanssi

4.24.4までの全てのバージョン (Free) および 2.27.5までの全てのバージョン (Premium) において、'cats'と'tags'のクエリパラメータを介した time-based SQLインジェクションの脆弱性が存在します。

認証を受けていない第三者が、既存のSQLクエリに追加のSQLクエリを付加することで機密情報をデータベースから抜き出すことが可能となります。

プラグイン:Ultimate Member

2.10.3までの全てのバージョンにおいて、任意の関数を呼び出せる脆弱性が存在します。攻撃者が管理者以上の権限を持つユーザーで認証済みの場合に、任意の関数を実行し、リモートでコードを実行することが可能になります。

他の脆弱性:2件

以下、他の脆弱性2件を紹介しましょう。

プラグイン: All in One SEO

寄稿者以上の権限を持つユーザーで認証済の場合に、ユーザーが挿入されたページにアクセスするたびにウェブスクリプトが実行され、任意のウェブスクリプトをページに挿入できます。

プラグイン:WooCommerce

認証を受けていない第三者が、ユーザーをだましてアクションを実行させることで、任意のウェブスクリプトをページに挿入することが可能となります。

総括

5月15日～2025年5月21日に報告された脆弱性4件のうち、2件は認証を受けていない第三者 (つまり、誰でも攻撃できる) に影響を及ぼす脆弱性で、2件は少なくとも寄稿者以上の権限を持つユーザーで認証済の場合に影響を及ぼす脆弱性でした。

先週に引き続きRelevanssiの有償版に脆弱性が報告されています。利用している場合は速やかにアップデートをしてください。

また、Ultimate Memberの脆弱性に対する修正が提供されました。利用している場合はこちらも速やかにアップデートをしてください。

多くのプラグインでは脆弱性の公開前か、公開に合わせて修正が提供されますが、Ultimate Memberのように遅れて修正が提供される場合もあります。Ultimate Memberは利用者も多く、開発も継続しているプラグインです (前のバージョンである 2.10.3 は2025-04-24に公開されています)。

このように、開発が活発なプラグインで脆弱性が報告されて、まだ修正が提供されていない場合は、一度プラグインの動作を停止して、修正が提供されるまで待つことも対応策の一つとして考えられます。ただし、脆弱性によっては停止しても影響する場合がありますので、報告された脆弱性の内容をもとに判断してください。

同様の脆弱性がありましたが、インストールしたプラグインに設定ページなどが存在する場合は、必ず設定に目を通すことが必要です。