WordPress JetGridBuilder プラグイン <= 1.1.2 - ローカルファイルインクルージョン (Local File Inclusion) 脆弱性

この脆弱性は、攻撃者がJetGridBuilderを通じてサーバー上の任意のファイルを読み取れることを意味します。攻撃者は、この脆弱性を悪用して、設定ファイル、データベースファイル、ソースコードなどの機密情報を盗む可能性があります。さらに、攻撃者はこの脆弱性を利用して、悪意のあるコードを実行し、システムを完全に制御する可能性があります。この脆弱性は、WordPressサイトのセキュリティを著しく損なう可能性があります。類似のLFI脆弱性は、過去に多くのWebアプリケーションで発見されており、攻撃者はこれらの脆弱性を悪用して、機密情報を盗み、システムを破壊する可能性があります。

WordPress websites utilizing the Crocoblock JetGridBuilder plugin, particularly those running versions prior to 1.1.3, are at risk. Shared hosting environments where multiple WordPress installations share the same server resources are especially vulnerable, as a compromise of one site could potentially lead to the compromise of others.

• wordpress / composer / npm:

grep -r "../" /var/www/html/wp-content/plugins/jetgridbuilder/*

• generic web:

curl -I 'http://your-wordpress-site.com/wp-content/plugins/jetgridbuilder/../../../../etc/passwd' # Check for file disclosure

1. 2024-08-19Disclosure

   disclosure

1. 予約済み2024-08-09
2. 公開日2024-08-19
3. EPSS 更新日2026-04-02

この脆弱性への最も効果的な対策は、JetGridBuilderをバージョン1.1.3にアップデートすることです。アップデートがすぐに利用できない場合、一時的な緩和策として、WordPressのファイルパーミッションを適切に設定し、JetGridBuilderのディレクトリへのアクセスを制限することができます。また、Webアプリケーションファイアウォール（WAF）を使用して、LFI攻撃を検出し、ブロックすることも有効です。WAFのルールを調整し、不審なファイルアクセスを監視することで、攻撃を早期に発見し、被害を最小限に抑えることができます。