30秒で判断
- 対応が必要な人: WordPressプラグイン「Cable」（Confection WordPress Cable）バージョン0.4.0〜0.4.7を使用しているサイト運営者
- 対応不要な人: 当該プラグインを導入していないWordPressサイト、すでに0.4.7より新しいバージョンに更新済みの環境
- 確認コマンド: WordPress管理画面の「プラグイン」一覧で「Cable」のバージョンを確認、またはサーバー上で
wp plugin list --name=cableを実行
概要
WordPress用プラグイン「Confection WordPress Cable」のバージョン0.4.0〜0.4.7に、重大な脆弱性が見つかりました。このプラグインは設定を保存する際に、権限チェックやnonce（CSRF対策トークン）の検証を一切行っていません。さらに、保存された設定値の一部が無加工のまま単独のPHPファイルに書き込まれ、そのファイルがそのまま配信される仕組みになっています。
この結果、ログインしていない第三者であっても、プラグインの設定保存機能を呼び出すことで、サーバー上で任意のPHPコードを実行できる状態になっていました。認証不要でサーバーの制御を奪われる可能性があるため、最も深刻な部類の脆弱性です。
CVSSベクトル
| 項目 | 値 |
|---|---|
| CVSSスコア | 10.0 (Critical) |
| CVSSバージョン | 3.1 |
| 攻撃元区分 | ネットワーク |
| 攻撃条件の複雑さ | 低 |
| 必要な特権レベル | 不要 |
| ユーザー関与 | 不要 |
影響を受けるソフトウェア
| 製品 | ベンダー | 影響を受けるバージョン |
|---|---|---|
| Cable (WordPress plugin) | Confection | 0.4.0 〜 0.4.7 |
修正バージョンと回避策
- WordPress管理画面からプラグイン「Cable」を最新バージョンに更新してください。修正版が未提供の場合は、プラグインを無効化・削除することを推奨します。
- 更新がすぐに行えない場合は、プラグインの設定保存機能にアクセスできないようWebサーバー側（.htaccessやnginx設定等）で該当エンドポイントへのアクセスを制限することも検討してください。
- 既に侵害されている可能性がある場合は、サーバー上の不審なPHPファイルの有無を確認してください。
関連リンク
データソース: NVD (NIST) AI解説はClaude APIにより自動生成されています。正確性については原文をご確認ください。