WordPress Strikingテーマ <= 2.3.4 - ローカルファイルインクルージョン (Local File Inclusion) 脆弱性

このPath Traversal脆弱性は、攻撃者がStrikingプラグインの処理を悪用し、本来アクセスできないファイルシステム上のファイルにアクセスすることを可能にします。攻撃者は、Webサーバーのルートディレクトリ外にある機密情報（設定ファイル、データベースダンプ、ソースコードなど）を読み出す可能性があります。これにより、機密情報の漏洩、システムへの不正アクセス、さらにはサーバー全体の制御奪取につながる可能性があります。WordPressサイト全体が影響を受ける可能性があり、特にプラグインを多用しているサイトや、ファイルパーミッションの設定が不適切なサイトにおいて、リスクが高まります。

WordPress websites utilizing the Striking plugin, particularly those running older versions (≤2.3.4), are at risk. Shared hosting environments where file system permissions are less tightly controlled are especially vulnerable. Sites with weak security configurations or inadequate input validation practices are also at increased risk.

• wordpress / composer / npm:

grep -r "../" /var/www/html/wp-content/plugins/striking/*

• generic web:

curl -I 'http://your-wordpress-site.com/wp-content/plugins/striking/../../../../etc/passwd' # Check for sensitive file access

1. 2024-07-09Disclosure

   disclosure

1. 予約済み2024-06-04
2. 公開日2024-07-09
3. 更新日2024-08-02
4. EPSS 更新日2026-04-02

最も効果的な対策は、Strikingプラグインをバージョン2.3.5以降にアップデートすることです。アップデートできない場合は、ファイルパーミッションを適切に設定し、Webサーバーの設定でアクセス制限を強化することで、脆弱性の悪用を軽減できます。WAF（Web Application Firewall）を導入し、Path Traversal攻撃を検知・防御するルールを設定することも有効です。また、プラグインの入力検証を強化し、不正なパス名が使用されないようにすることも重要です。アップデート後、プラグインの動作を確認し、想定通りの動作をするか検証してください。