30秒で判断
- 対応すべき人: WordPressプラグイン「AZEXO Store Locator」バージョン1.4以前を使用している方
- 対応不要な人: 当該プラグインを使用していない方、1.4より新しいバージョンにアップデート済みの方
- 確認コマンド: WordPress管理画面のプラグイン一覧から「AZEXO Store Locator」のバージョンを確認
概要
AZEXO Store LocatorはWordPress向けの店舗検索プラグインです。今回の脆弱性は、AJAXアクションに対する権限（capability）チェックやnonceチェックが行われておらず、かつファイルパスの組み立てに使われるリクエストヘッダのサニタイズも行われていないことが原因です。
この結果、購読者（subscriber）のような低い権限を持つ認証済みユーザーであっても、任意の名前・場所・内容でファイルを書き込むことができ、リモートでのコード実行につながるおそれがあります。WordPressは会員登録を受け付けるサイトで広く使われるため、低権限ユーザーからの攻撃が成立する点に注意が必要です。
CVSSベクトル
| 項目 | 値 |
|---|---|
| CVSSスコア | 8.8 (High) |
| CVSSバージョン | 3.1 |
| 攻撃元区分 | ネットワーク経由 |
| 認証要否 | 必要（購読者程度の低権限でも可） |
| 影響 | 任意ファイル書き込みによるコード実行 |
影響を受けるソフトウェア
| 製品 | バージョン |
|---|---|
| AZEXO Store Locator | 1.4 <= |
修正バージョンと回避策
プラグイン開発元が提供する最新バージョンへのアップデートを推奨します。WordPress管理画面からプラグインを1.4より新しいバージョンに更新してください。アップデートがすぐに行えない場合は、該当プラグインを一時的に無効化する、または会員登録・購読者登録を制限することが回避策として有効です。
関連リンク
データソース: NVD (NIST) AI解説はClaude APIにより自動生成されています。正確性については原文をご確認ください。