skip to content
WordPress脆弱性速報

【2026年07月16日】WordPress プラグイン脆弱性まとめ: Asset-Manager、Gravity Forms など 15 件

/ 19 min read

View more blogs with the tag wordpress , View more blogs with the tag プラグイン , View more blogs with the tag 脆弱性 , View more blogs with the tag セキュリティ
Table of Contents

本日のまとめ

本日、WordPressプラグインに関する合計15件の深刻な脆弱性が確認されました。特に、Asset-ManagerやTheCartPress、Ultimate Addons for Beaver Builderといったプラグインには、悪用されるとサイトが完全に支配される可能性がある「緊急」レベルの危険があります。ご自身のサイトにこれらのプラグインがインストールされていないか、速やかに確認し、必要な対策を講じてください。

Asset-Manager: 認証なしでサイトを乗っ取られる危険

  • 対象: Asset-Manager (jkriddle/asset-manager)
  • 影響バージョン: 0 〜 2.0 (2.0を含む)
  • 深刻度: 10.0 / 10 (緊急)

どんな危険があるか

このプラグインには、サイトにログインしていない状態でも、悪意のあるファイルをアップロードできてしまう脆弱性があります。攻撃者はこの機能を利用して、サイトのプログラムを自由に実行できるファイル（PHPスクリプト）をアップロードし、あなたのWordPressサイトを完全に支配する可能性があります。

今すぐやること

Asset-Managerプラグインを使用している場合は、直ちにプラグインを無効化し、サイトから削除してください。このプラグインは非常に古く、深刻な脆弱性を抱えているため、代替プラグインの利用を強く推奨します。公式情報を確認してください。

出典

TheCartPress: 認証なしで管理者アカウントを作成される危険

  • 対象: TheCartPress (thecartpress/TheCartPress)
  • 影響バージョン: 0 〜 1.5.3.6 (1.5.3.6を含む)
  • 深刻度: 9.3 / 10 (緊急)

どんな危険があるか

このプラグインには、ログインしていない状態でも、攻撃者が特別なリクエストを送ることで、あなたのWordPressサイトに新しい管理者アカウントを勝手に作成できる脆弱性があります。一度管理者アカウントを作成されてしまうと、サイトを完全に制御されてしまいます。

今すぐやること

TheCartPressプラグインを使用している場合は、直ちにプラグインを無効化し、サイトから削除してください。このプラグインは古いバージョンのため、代替プラグインの利用を検討してください。公式情報を確認してください。

出典

Ultimate Addons for Beaver Builder: ログインせずにサイトに侵入される危険

  • 対象: Ultimate Addons for Beaver Builder (Ultimatebeaver/Ultimate Addons for Beaver Builder)
  • 影響バージョン: 0 〜 1.2.4.1 (1.2.4.1を含む)
  • 深刻度: 9.3 / 10 (緊急)

どんな危険があるか

このプラグインには、ソーシャルメディアログイン機能に脆弱性があり、攻撃者が認証を回避して不正にサイトにアクセスできる可能性があります。特定の条件を満たしたリクエストを送ることで、管理者としてサイトにログインできてしまい、サイトが乗っ取られる危険があります。

今すぐやること

Ultimate Addons for Beaver Builderのバージョン1.2.4.1以下を使用している場合は、直ちにプラグインを無効化し、サイトから削除してください。公式情報を確認し、修正版が提供されていなければ、代替プラグインの利用を検討してください。

出典

Survey & Poll: 認証なしでデータベース情報が盗まれる危険

  • 対象: Survey & Poll (Modalsurvey/Survey & Poll)
  • 影響バージョン: 1.5.7.3
  • 深刻度: 8.8 / 10 (重要)

どんな危険があるか

このプラグインにはSQLインジェクションの脆弱性があり、ログインしていない攻撃者でも、Cookieパラメータを悪用してデータベースに不正な命令を送り込むことができます。これにより、ユーザー名やパスワード、その他の機密情報を含む、サイトのデータベース内容を抜き取られる危険があります。

今すぐやること

Survey & Pollプラグインのバージョン1.5.7.3を使用している場合は、直ちにプラグインを無効化するか、サイトから削除してください。公式情報を確認し、修正版が提供されていなければ、代替プラグインの利用を検討してください。

出典

Booking Calendar Contact Form (CVE-2016-20069): 認証なしでデータベース情報が盗まれる危険

  • 対象: Booking Calendar Contact Form (dwbooster/Booking Calendar Contact Form)
  • 影響バージョン: 0 〜 1.0.23 (1.0.23を含む)
  • 深刻度: 8.8 / 10 (重要)

どんな危険があるか

このプラグインには、ログインしていない攻撃者でもSQLインジェクションを実行できる脆弱性があります。ショートコード機能のパラメータが適切に処理されないため、攻撃者はデータベースに不正な命令を送り込み、サイトの機密情報を抜き取ることができます。

今すぐやること

Booking Calendar Contact Formのバージョン1.0.23以下を使用している場合は、直ちにプラグインを無効化するか、サイトから削除してください。公式情報を確認し、修正版が提供されていなければ、代替プラグインの利用を検討してください。

出典

Booking Calendar Contact Form (CVE-2016-20068): 認証なしでデータベース情報が盗まれる危険

  • 対象: Booking Calendar Contact Form (dwbooster/Booking Calendar Contact Form)
  • 影響バージョン: 0 〜 1.0.23 (1.0.23を含む)
  • 深刻度: 8.8 / 10 (重要)

どんな危険があるか

このプラグインには、ログインしていない攻撃者でもSQLインジェクションを実行できる脆弱性があります。特定のAJAXリクエストの「id」パラメータを悪用することで、データベースに不正な命令を送り込み、サイトの機密情報を抜き取ることができます。

今すぐやること

Booking Calendar Contact Formのバージョン1.0.23以下を使用している場合は、直ちにプラグインを無効化するか、サイトから削除してください。公式情報を確認し、修正版が提供されていなければ、代替プラグインの利用を検討してください。

出典

Product Catalog 8: 認証なしでデータベース情報が盗まれる危険

  • 対象: Product Catalog 8 (EvWill/Product Catalog 8)
  • 影響バージョン: 1.2.0
  • 深刻度: 8.8 / 10 (重要)

どんな危険があるか

このプラグインにはSQLインジェクションの脆弱性があり、ログインしていない攻撃者でも、特定のパラメータを悪用してデータベースに不正な命令を送り込むことができます。これにより、サイトのデータベースから機密情報が抜き取られる危険があります。

今すぐやること

Product Catalog 8プラグインのバージョン1.2.0を使用している場合は、直ちにプラグインを無効化するか、サイトから削除してください。公式情報を確認し、修正版が提供されていなければ、代替プラグインの利用を検討してください。

出典

Backup Migration: 認証なしでデータベースバックアップがダウンロードされる危険

  • 対象: WordPress Plugin Backup Migration (Backupbliss/WordPress Plugin Backup Migration)
  • 影響バージョン: 1.2.8
  • 深刻度: 8.7 / 10 (重要)

どんな危険があるか

このプラグインには情報漏えいの脆弱性があり、ログインしていない攻撃者でも、バックアップファイルの保存場所を推測することで、サイトの完全なデータベースバックアップをダウンロードできてしまいます。このバックアップには、すべてのサイト情報やユーザーデータが含まれている可能性があります。

今すぐやること

Backup Migrationプラグインのバージョン1.2.8を使用している場合は、直ちにプラグインを無効化し、サイトから削除してください。公式情報を確認し、修正版が提供されていなければ、代替プラグインの利用を検討してください。

出典

Backup and Restore: ログインユーザーにファイルを削除される危険

  • 対象: WordPress Plugin Backup and Restore (Miniorange/Backup and Restore)
  • 影響バージョン: 1.0.3
  • 深刻度: 8.7 / 10 (重要)

どんな危険があるか

このプラグインには、認証されたユーザー（ログイン済みのユーザー、例えば寄稿者や編集者）が、サイト内の任意のファイルを削除できてしまう脆弱性があります。悪意のあるユーザーによって、サイトの重要なファイルが消され、サイトが機能しなくなる可能性があります。

今すぐやること

Backup and Restoreプラグインのバージョン1.0.3を使用している場合は、直ちにプラグインを無効化し、サイトから削除してください。公式情報を確認し、修正版が提供されていなければ、代替プラグインの利用を検討してください。

出典

Time Capsule Plugin: 認証なしで管理者にアクセスされる危険

  • 対象: WordPress Time Capsule Plugin (Wptimecapsule/Time Capsule Plugin)
  • 影響バージョン: 0 〜 1.21.16 (1.21.16を含む)
  • 深刻度: 8.7 / 10 (重要)

どんな危険があるか

このプラグインには認証回避の脆弱性があり、ログインしていない攻撃者でも、特別なリクエストを送ることで、管理者権限でサイトにアクセスできてしまいます。これにより、サイトが完全に乗っ取られる危険があります。

今すぐやること

Time Capsule Pluginのバージョン1.21.16以下を使用している場合は、直ちにプラグインを無効化し、サイトから削除してください。公式情報を確認し、修正版が提供されていなければ、代替プラグインの利用を検討してください。

出典

Ultimate Product Catalog: ログインユーザーに任意のファイルをアップロードされサイトを乗っ取られる危険

  • 対象: WordPress Ultimate Product Catalog (Etoilewebdesign/Ultimate Product Catalog)
  • 影響バージョン: 3.8.6
  • 深刻度: 8.7 / 10 (重要)

どんな危険があるか

このプラグインには、認証されたユーザー（ログイン済みのユーザー、例えば寄稿者や編集者）が、悪意のあるファイルをアップロードできてしまう脆弱性があります。アップロードされたファイルを通じて、攻撃者はサイトのプログラムを自由に実行し、あなたのWordPressサイトを完全に支配する可能性があります。

今すぐやること

Ultimate Product Catalogプラグインのバージョン3.8.6を使用している場合は、直ちにプラグインを無効化し、サイトから削除してください。公式情報を確認し、修正版が提供されていなければ、代替プラグインの利用を検討してください。

出典

Quotes Llama: 認証なしでデータベース情報が盗まれる危険

  • 対象: Quotes Llama
  • 影響バージョン: 3.1.6未満
  • 深刻度: 8.6 / 10 (重要)

どんな危険があるか

このプラグインにはSQLインジェクションの脆弱性があり、ログインしていない攻撃者でも、特定のパラメータを悪用してデータベースに不正な命令を送り込むことができます。これにより、パスワードのハッシュ値を含む、サイトの機密情報が抜き取られる危険があります。

今すぐやること

Quotes Llamaプラグインをバージョン3.1.6以上に更新してください。更新が難しい場合は、一時的にプラグインを無効化するか、代替プラグインの利用を検討してください。

出典

Shibboleth: 認証なしで管理者アカウントを作成される危険

  • 対象: Shibboleth
  • 影響バージョン: 2.5.4未満
  • 深刻度: 8.1 / 10 (重要)

どんな危険があるか

このプラグインには、特定の環境設定（HTTPヘッダー認証モードが有効で、なりすまし防止キーが未設定、自動アカウント作成が有効、サーバー側でヘッダーが適切に処理されない場合）において、ログインしていない攻撃者が偽のヘッダー情報を使うことで、新しい管理者アカウントを作成し、ログインできてしまう脆弱性があります。サイトが乗っ取られる危険があります。

今すぐやること

Shibbolethプラグインをバージョン2.5.4以上に更新してください。更新が難しい場合は、一時的にプラグインを無効化するか、HTTPヘッダー認証モードの設定を見直し、なりすまし防止キーが設定されているか、またサーバー側で不審なヘッダーが適切に除去されているかを確認してください。

出典

Gravity Forms: 認証なしで任意のファイル内容が読み取られる危険

  • 対象: Gravity Forms
  • 影響バージョン: 0 〜 2.10.4 (2.10.4を含む)
  • 深刻度: 7.5 / 10 (重要)

どんな危険があるか

このプラグインには、ディレクトリトラバーサルの脆弱性があり、ログインしていない攻撃者でも、特定のパラメータを悪用することで、サーバー上の任意のファイルの内容を読み取れてしまいます。これにより、設定ファイルや機密情報が漏えいする可能性があります。この脆弱性は、ログイン必須ではない公開フォームが存在する場合に悪用される可能性があります。

今すぐやること

Gravity Formsプラグインを最新バージョン（2.10.4より新しいバージョン）に更新してください。更新が難しい場合は、一時的にログイン必須ではない公開フォームを無効化するか、フォームの設定を見直してください。

出典

Sliced Invoices: ログインユーザーにデータベース情報が盗まれる危険

  • 対象: Sliced Invoices (SlicedInvoices/Sliced Invoices)
  • 影響バージョン: 3.8.2
  • 深刻度: 7.1 / 10 (重要)

どんな危険があるか

このプラグインにはSQLインジェクションの脆弱性があり、ログイン済みの攻撃者が特定のパラメータを悪用することで、データベースに不正な命令を送り込むことができます。これにより、サイトの機密情報が抜き取られたり、データが改ざんされたりする危険があります。

今すぐやること

Sliced Invoicesプラグインのバージョン3.8.2を使用している場合は、直ちにプラグインを無効化するか、サイトから削除してください。公式情報を確認し、修正版が提供されていなければ、代替プラグインの利用を検討してください。

出典

日頃の備え

今回の脆弱性情報をきっかけに、日頃から以下の対策を習慣づけることをお勧めします。

  • 定期的な更新: WordPress本体、プラグイン、テーマは常に最新の状態に保ちましょう。自動更新機能を活用するのも有効です。
  • 不要なものの削除: 使っていないプラグインやテーマは、セキュリティリスクとなるため削除しましょう。
  • 定期的なバックアップ: 万が一の事態に備え、サイト全体のバックアップを定期的に取得しておきましょう。
  • 信頼できるソースからの導入: プラグインやテーマは、公式ディレクトリや信頼できる開発元からのみ導入しましょう。

出典