BuddyPress <= 14.3.3 - 認証されていない任意のショートコード実行

この脆弱性は、攻撃者がWordPressサイト上で任意のPHPコードを実行することを可能にします。これにより、攻撃者は機密情報を盗み出したり、ウェブサイトのコンテンツを改ざんしたり、さらにはサーバー全体を制御する可能性があります。特に、WordPressサイトが機密情報を取り扱っている場合や、重要なビジネスプロセスを支えている場合には、この脆弱性の影響は甚大です。攻撃者は、不正なショートコードを挿入することで、データベースへのアクセス、ファイルの改ざん、バックドアの設置など、様々な悪意のある活動を実行できる可能性があります。この脆弱性は、WordPressのセキュリティ全体を脅かす重大なリスクとなります。

WordPress websites utilizing the BuddyPress plugin, particularly those running versions prior to 14.3.4, are at risk. Shared hosting environments are especially vulnerable, as a compromised BuddyPress installation on one site could potentially impact others on the same server. Sites with custom shortcode implementations or plugins that interact with BuddyPress are also at increased risk.

• wordpress / composer / npm:

grep -r 'do_shortcode' /var/www/html/wp-content/plugins/buddypress/

• wordpress / composer / npm:

wp plugin list --status=active | grep buddypress

• wordpress / composer / npm:

wp plugin update buddypress --all

• generic web: Check for unusual shortcode usage in website content, particularly in areas accessible to unauthenticated users.

1. 2026-01-22Disclosure

   disclosure

1. 予約済み2024-11-28
2. 公開日2026-01-22
3. 更新日2026-01-23
4. EPSS 更新日2026-03-23

この脆弱性への最も効果的な対策は、BuddyPressプラグインをバージョン14.3.4以降にアップデートすることです。アップデートが困難な場合は、一時的な回避策として、WordPressのセキュリティプラグインを使用して、ショートコードの実行を制限することができます。また、ウェブアプリケーションファイアウォール（WAF）を導入し、不正なショートコードの実行を検知・ブロックすることも有効です。さらに、WordPressのセキュリティ設定を見直し、不要なプラグインを削除し、常に最新バージョンにアップデートすることで、セキュリティリスクを軽減することができます。