30秒で判断
- 対応すべき人: WordPressプラグイン「mView 豆瓣电影」バージョン1.0.3以前を使用している方
- 対応不要な人: 当該プラグインを使用していない方、1.0.3より新しいバージョンにアップデート済みの方
- 確認コマンド: WordPress管理画面のプラグイン一覧から「mView 豆瓣电影」のバージョンを確認
概要
mView 豆瓣电影はWordPress向けの映画情報表示プラグインです。今回の脆弱性は、リモートから取得するファイルの種類・名前・取得元を検証していないこと、かつ権限（capability）や認可チェックも行っていないことが原因です。
この結果、購読者（subscriber）のような低い権限を持つ認証済みユーザーであっても、Webサーバーからアクセス可能なディレクトリに任意のPHPファイルをアップロードでき、リモートでのコード実行につながるおそれがあります。会員登録を受け付けるサイトでは低権限ユーザーからの攻撃が成立する点に注意が必要です。
CVSSベクトル
| 項目 | 値 |
|---|---|
| CVSSスコア | 8.8 (High) |
| CVSSバージョン | 3.1 |
| 攻撃元区分 | ネットワーク経由 |
| 認証要否 | 必要（購読者程度の低権限でも可） |
| 影響 | 任意PHPファイルアップロードによるコード実行 |
影響を受けるソフトウェア
| 製品 | バージョン |
|---|---|
| mView 豆瓣电影 | 1.0.3 <= |
修正バージョンと回避策
プラグイン開発元が提供する最新バージョンへのアップデートを推奨します。WordPress管理画面からプラグインを1.0.3より新しいバージョンに更新してください。アップデートがすぐに行えない場合は、該当プラグインを一時的に無効化する、または会員登録・購読者登録を制限することが回避策として有効です。
関連リンク
データソース: NVD (NIST) AI解説はClaude APIにより自動生成されています。正確性については原文をご確認ください。