30秒で判断
- 対応すべき人: WordPressプラグイン「Advanced Views – Display Posts, Custom Fields, and More」3.7.19以前を使用している方
- 対応不要な人: Advanced Viewsを使用していない方、author権限以上のユーザーを信頼できる関係者のみに限定している方
- 確認コマンド: WordPress管理画面のプラグイン一覧でAdvanced Viewsのバージョンを確認
概要
CVE-2025-10380 は、カスタム投稿表示や条件分岐を可能にするWordPressプラグイン「Advanced Views」に存在する脆弱性です。
プラグインのModelパネルでカスタムTwigテンプレートを処理する際、入力のサニタイズとアクセス制御が不十分なため、author権限以上を持つ認証済みユーザーがServer-Side Template Injection（SSTI）を通じて、サーバー上で任意のPHPコードやコマンドを実行できてしまいます。未認証の攻撃者は直接悪用できませんが、投稿者権限のアカウントが乗っ取られた場合やマルチサイトで投稿者権限を外部に付与している場合はリスクとなります。
CVSSと攻撃の前提
| 項目 | 内容 |
|---|---|
| CVSSスコア | 8.8（High） |
| 認証 | 必要（author権限以上） |
| 攻撃元 | ネットワーク経由（WordPress管理画面のModelパネル） |
| 影響 | 任意のPHPコード・コマンドの実行 |
影響を受けるソフトウェア
| 製品 | ベンダー | 影響バージョン |
|---|---|---|
| Advanced Views – Display Posts, Custom Fields, and More | （WordPressプラグイン） | 3.7.19以前 |
修正バージョンと回避策
- WordPress管理画面からAdvanced Viewsを3.7.19より新しいバージョンへアップデートしてください。
- author権限以上のアカウントは信頼できるユーザーのみに付与し、不要なアカウントは権限を見直すことを推奨します。
- アップデートが難しい場合は、Modelパネルでのカスタムテンプレート編集機能の利用を一時的に制限してください。
関連リンク
データソース: NVD (NIST), Wordfence AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。