2025年5月29日～2025年6月4日までに報告されたWordPress関連の脆弱性情報

こんにちは。プライム・ストラテジーの相馬理紗です。

WordPressのプラグイン・テーマの脆弱性情報を公開しているWebサイト「Wordfence」から、日本の利用者にも影響がありそうなものを中心に紹介する本連載。

今回は、2025年5月29日～2025年6月4日までに報告されたWordPress脆弱性のうち、Wordfenceが公開しているデータフィードより以下の条件を満たすものを紹介します。

• WordPress.orgにおける“Active installations"が10万以上である
• 日本語の翻訳に対応している

毎回紹介している深刻度が高い脆弱性ですが、今回はありません。

他の脆弱性: 6件

以下、他の脆弱性を6件紹介しましょう。

プラグイン: Smash Balloon Social Photo Feed

寄稿者以上の権限を持つユーザーで認証済の場合に、ユーザーが挿入されたページにアクセスするたびにウェブスクリプトが実行される、任意のウェブスクリプトをページに挿入できる。

プラグイン: Broken Link Checker

購読者以上の権限を持つユーザーで認証済の場合に、プラグインのステータスを見ることができる。

プラグイン: Forminator Forms

寄稿者以上の権限を持つユーザーで認証済の場合に、ユーザーが挿入されたページにアクセスするたびにウェブスクリプトが実行される、任意のウェブスクリプトをページに挿入できる。

プラグイン: Responsive Lightbox & Gallery

認証を受けていない第三者が、ユーザーが挿入されたページにアクセスするたびにウェブスクリプトが実行される、任意のウェブスクリプトをページに挿入できる。

プラグイン: Simple Lightbox

寄稿者以上の権限を持つユーザーで認証済の場合に、ユーザーが挿入されたページにアクセスするたびにウェブスクリプトが実行される、任意のウェブスクリプトをページに挿入できる。

プラグイン: Relevanssi

認証を受けていない第三者が、ユーザーが挿入されたページにアクセスするたびにウェブスクリプトが実行される、任意のウェブスクリプトをページに挿入できる。

総括

5月29日から6月4日にかけて報告された脆弱性6件のうち、2件は認証を受けていない第三者 (誰でも攻撃できる) に影響を及ぼす脆弱性で、4件は少なくとも寄稿者以上の権限を持つユーザーで認証済の場合に影響を及ぼす脆弱性でした。また、今週も5件が Cross-Site Scripting (XSS) に対する脆弱性でした。

Relevanssiは再び脆弱性が報告されました。利用している場合は速やかにアップデートをしてください。

Broken Link Checkerの脆弱性である「プラグインのステータスを見る」は一見問題がないもののように見えます。しかし、プラグインのステータスの確認はWordPressでは管理者権限でないと見えないものです。これが購読者 (認証ユーザーの中では最も権限が低いユーザー) でも見えてしまうことが問題となっています。複数のユーザーを登録しているサイトでは、各ユーザーに適切な権限のみを付与しているか、確認するようにしてください。