2025年6月26日～2025年7月2日までに報告されたWordPress関連の脆弱性情報

こんにちは。プライム・ストラテジーの相馬理紗です。

WordPressのプラグイン・テーマの脆弱性情報を公開しているWebサイト「Wordfence」から、日本の利用者にも影響がありそうなものを中心に紹介する本連載。

今回は、2025年6月26日～2025年7月2日に報告されたWordPress脆弱性のうち、Wordfenceが公開しているデータフィードより以下の条件を満たすものを紹介します。

• WordPress.orgにおける“Active installations"が10万以上である
• 日本語の翻訳に対応している

深刻度が高い脆弱性：2件

深刻度が高い脆弱性は2件です。

プラグイン：Forminator Forms

1.44.2までの全てのバージョンに、‘entrydeleteupload_files' 関数で信頼できない入力をデシリアライズすることにより、PHP オブジェクトインジェクションの脆弱性が存在します。認証を受けていない第三者がこの脆弱性を悪用することで、、PHARファイルを介してPHPオブジェクトを挿入することが可能になります。

なお、このプラグイン単体にはPOPチェインはありません。つまり、ウェブサイトにPOPチェインを持つ他のプラグインやテーマが存在しない限り、この脆弱性の影響はありません。

もしも、他にインストールされたプラグインやテーマにPOPチェインが存在する場合、攻撃者はそのPOPチェインによっては任意のファイルを削除したり、機密性のデータを取得したり、PHPコードを実行したりすることができます。

なお、デシリアライズは、管理者によるかプラグインの設定による自動削除で、フォーム投稿が削除されたときに起きます。

プラグイン：Forminator Forms

1.44.2までの全てのバージョンに、‘entrydeleteupload_files' 関数のファイルパス検証が不十分なため、任意のファイルを削除される脆弱性が存在します。認証されていない第三者がこの脆弱性を悪用すると、任意のファイルパスをフォーム送信に含めることが可能です。

このファイルはフォーム投稿が削除されたときに削除されます（管理者が削除、プラグインの設定による自動削除のいずれの場合も）。このため、適切なファイル (wp-config.php など) が削除されると、リモートでコードを実行される可能性があります。

他の脆弱性：4件

以下、他の脆弱性4件を紹介しましょう。

プラグイン：Smash Balloon Social Photo Feed

寄稿者以上の権限を持つユーザーで認証済の場合に、この脆弱性を悪用すると、「ユーザーが挿入されたページにアクセスするたびにウェブスクリプトが実行される」「任意のウェブスクリプトをページに挿入する」といったことが可能になります。

プラグイン：Ninja Forms

寄稿者以上の権限を持つユーザーで認証済の場合に、この脆弱性を悪用すると、「ユーザーが挿入されたページにアクセスするたびにウェブスクリプトが実行される」「任意のウェブスクリプトをページに挿入する」といったことが可能になります。

プラグイン：OceanWP

寄稿者以上の権限を持つユーザーで認証済の場合に、この脆弱性を悪用すると、「ユーザーが挿入されたページにアクセスするたびにウェブスクリプトが実行される」「任意のウェブスクリプトをページに挿入する」といったことが可能になります。

プラグイン：WP Shortcodes Plugin - Shortcodes Ultimate

寄稿者以上の権限を持つユーザーで認証済の場合に、この脆弱性を悪用すると、「ユーザーが挿入されたページにアクセスするたびにウェブスクリプトが実行される」「任意のウェブスクリプトをページに挿入する」といったことが可能になります。

総括

6月26日から7月2日にかけて報告された脆弱性6件のうち、2件は認証を受けてない第三者 (誰でも攻撃できる) に影響を及ぼす脆弱性で、4件は少なくとも寄稿者以上の権限を持つユーザーで認証済の場合に影響を及ぼす脆弱性でした。

Forminator Formsの脆弱性は認証を受けてない第三者によってリモートコードが実行されるリスクがあるものです。早急に対応するようにしてください。

Ocean WP および WP Shortcodes Pluginの脆弱性は、プラグインが同梱するJavaScriptライブラリ Magnific Popups 1.1.0 に存在する脆弱性に起因するものです。Magnific Popups 1.2.0 で特定のフィールド内のHTMLの読み込みをデフォルトで無効にすることで修正されています。

こちらで取り上げていないWordPressのプラグインにおいても、同じJavaScriptライブラリを同梱しているものがあります。また、該当するWordPressのプラグインとして使っていなくても、Web制作の一環でJavaScriptライブラリを利用している場合があるかもしれません。こういったJavaScriptライブラリに起因する脆弱性情報が出た際には、他で同じJavaScriptライブラリを使っている環境がないか、確認するようにしてください。