WordPress Premmerce Permalink Manager for WooCommerce プラグイン <= 2.3.10 - ローカルファイルインクルージョン (Local File Inclusion) 脆弱性

この脆弱性は、攻撃者がPremmerce Permalink Managerを通じてサーバー上の任意のファイルにアクセスすることを可能にします。攻撃者は、機密情報（データベースの認証情報、APIキー、ソースコードなど）を盗み出す可能性があります。さらに、この脆弱性を悪用して、悪意のあるコードを実行したり、システムを完全に制御したりすることも可能です。この脆弱性は、WordPressサイト全体のセキュリティを脅かす重大なリスクとなります。類似のPath Traversal脆弱性は、過去に多くのWebアプリケーションで確認されており、攻撃者にとって魅力的な標的となりやすいです。

Websites using the Premmerce Permalink Manager for WooCommerce plugin, particularly those running older versions (≤2.3.10), are at risk. Shared hosting environments are particularly vulnerable as they often have limited control over server file permissions. Sites with misconfigured file permissions or inadequate WAF protection are also at increased risk.

• wordpress / composer / npm:

grep -r "../" /var/www/html/wp-content/plugins/premmerce-permalink-manager-for-woocommerce/*

• generic web:

curl -I 'https://your-wordpress-site.com/wp-content/plugins/premmerce-permalink-manager-for-woocommerce/wp-admin/admin.php?page=premmerce-permalink-manager&file=../../../../etc/passwd' # Attempt to access sensitive files

1. 2024-05-17Disclosure

   disclosure

1. 予約済み2024-02-28
2. 公開日2024-05-17
3. 更新日2024-08-02
4. EPSS 更新日2026-04-02

まず、Premmerce Permalink Managerをバージョン2.3.11にアップデートすることが最も効果的な対策です。アップデートが直ちに実行できない場合は、Webアプリケーションファイアウォール（WAF）を使用して、Path Traversal攻撃をブロックすることを検討してください。WAFのルールセットに、ファイルパスの正規化や、許可されていないディレクトリへのアクセスを制限するルールを追加します。また、WordPressのファイルパーミッションを適切に設定し、Premmerce Permalink Managerのディレクトリへのアクセスを制限することも有効です。アップデート後、ファイルアクセスログを監視し、不正なアクセスがないか確認してください。

アクティブインストール数

50Kニッチ

プラグイン評価

4.0

WordPressが必要

4.8+

動作確認済みバージョン

6.9.4

PHPが必要

5.6+