30秒で判断
- 対応が必要な人: WordPressプラグイン「WP Duplicate」バージョン1.1.11以下を使用しているサイト運営者
- 対応不要な人: 当該プラグインを導入していないWordPressサイト
- 確認コマンド: WordPress管理画面の「プラグイン」一覧で「WP Duplicate」のバージョンを確認
概要
WordPress用プラグイン「WP Duplicate」のバージョン1.1.11以下に、重大なファイルアップロードの脆弱性が見つかりました。このプラグインは、リクエストの認証に使う値を適切に検証しておらず、さらにアップロードされるファイルのパスや種類についても検証を行っていません。
この結果、ログインしていない第三者がサーバー上の任意の場所に任意のファイルを書き込むことができ、最終的にサーバー上で任意のコードを実行される（Remote Code Execution）状態になっていました。本脆弱性はすでにexploitが公開されています。
CVSSベクトル
| 項目 | 値 |
|---|---|
| CVSSスコア | 9.8 (Critical) |
| CVSSバージョン | 3.1 |
| 攻撃元区分 | ネットワーク |
| 攻撃条件の複雑さ | 低 |
| 必要な特権レベル | 不要 |
| ユーザー関与 | 不要 |
影響を受けるソフトウェア
| 製品 | ベンダー | 影響を受けるバージョン |
|---|---|---|
| WP Duplicate (WordPress plugin) | 不明 | 1.1.11以下 |
修正バージョンと回避策
- WordPress管理画面からプラグイン「WP Duplicate」を最新バージョンに更新してください。修正版が未提供の場合は、プラグインを無効化・削除することを強く推奨します。
- サーバー上に不審なファイル（PHPファイル等）が書き込まれていないか確認してください。
- アップロード先ディレクトリでスクリプトの実行権限を無効化する（Webサーバー設定でのPHP実行禁止など）ことも、追加の防御策として有効です。
- exploitが公開されているため、プラグインの無効化を含む対応を優先してください。
関連リンク
データソース: NVD (NIST) AI解説はClaude APIにより自動生成されています。正確性については原文をご確認ください。