つみかさね

CVE-2025-52761

Critical(9.8)

WP Funnel ManagerのPHPオブジェクトインジェクション脆弱性 CVE-2025-52761：影響範囲と対応方法

公開日: 2026-10-20データソース: NVD, GitHub Advisory

影響を受けるソフトウェア

製品ベンダー影響バージョン
WP Funnel Managermanfcarlo<= 1.4.0

対応ガイド

high|対応必須セキュリティ修正影響: 限定的

推奨アクション

  1. 1当該プラグインを使用しているか、使用していればバージョンを確認する
  2. 2開発元の修正バージョンへアップデートする
  3. 3アップデートが困難な場合はプラグインを一時的に無効化する

影響対象

当該プラグインを導入するWordPressサイト運営者

対応不要な人

  • ✓WP Funnel Managerを導入していない
  • ✓既に1.4.0より新しい修正バージョンを使用している

補足

  • -他のプラグインとの組み合わせでPOPチェーンが成立する場合、被害が拡大する可能性があります
CVEWordPressオブジェクトインジェクション

30秒で判断

  • 対応すべき人：WordPressプラグイン「WP Funnel Manager」を1.4.0以下で使用しているサイト運営者
  • 対応不要な人：当該プラグインを導入していない、または1.4.0より新しい修正版を使用している場合
  • 確認コマンド：WordPress管理画面の「プラグイン」一覧で wp-funnel-manager のバージョンを確認する

概要

セールスファネル構築プラグイン「WP Funnel Manager」で、信頼できないデータのデシリアライズ処理に不備があり、PHPオブジェクトインジェクションが可能な脆弱性です。サイトに他のプラグイン等でPOPチェーン（POP chain）が存在する場合、任意コード実行やファイル削除など、より深刻な被害につながる可能性があります。

攻撃条件

項目内容
攻撃元区分ネットワーク（リモートから攻撃可能）
必要な権限不要
ユーザー操作不要
CVSSスコア9.8（Critical）

影響を受けるソフトウェア

製品ベンダーバージョン
WP Funnel Managermanfcarlo<= 1.4.0

修正バージョンと回避策

  • 開発元の公開情報を確認し、修正バージョンへアップデートする
  • アップデートまでの間は、プラグインの一時的な無効化を検討する

関連リンク

データソース: NVD (NIST) AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。

関連する脆弱性

CVE-2025-49387WordPress「Drag and Drop File Upload for Elementor Forms」の任意ファイルアップロードCVSS 10CVE-2025-49388WordPress「Miraculous Core Plugin」の権限昇格CVSS 9.8

参考リンク

NVD:https://nvd.nist.gov/vuln/detail/CVE-2025-52761
Patchstack:https://patchstack.com/database/Wordpress/Plugin/wp-funnel-manager/vulnerability/wordpress-wp-funnel-manager-plugin-1-4-0-php-object-injection-vulnerability?_s_id=cve
Xでシェアはてブ
データソース: NVD (NIST), OSV (Google), GitHub Advisory Database, JVN iPedia (IPA/JPCERT/CC)
AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。