ElementorプラグインのWordPress Widgets for WooCommerce Products <= 2.0.0 - ローカルファイルインクルージョン (Local File Inclusion) 脆弱性

この脆弱性を悪用されると、攻撃者はサーバー上の機密ファイルにアクセスする可能性があります。例えば、設定ファイル、ソースコード、データベースのバックアップなどが含まれます。攻撃者は、この情報を使用して、さらなる攻撃を仕掛けたり、システムを完全に制御したりする可能性があります。ローカルファイルインクルージョン（LFI）の脆弱性は、しばしば他の脆弱性への足がかりとして利用されます。この脆弱性は、類似のLFI攻撃と同様に、攻撃者がシステムへのアクセス権を確立する上で利用される可能性があります。

WordPress websites utilizing the Woo Products Widgets For Elementor plugin, particularly those running versions prior to 2.0.1, are at risk. Shared hosting environments where multiple WordPress installations share the same server resources are especially vulnerable, as a compromise of one site could potentially lead to the compromise of others.

• wordpress / composer / npm:

grep -r '../' /var/www/html/wp-content/plugins/woo-products-widgets-for-elementor/*

• generic web:

curl -I 'http://your-wordpress-site.com/wp-content/plugins/woo-products-widgets-for-elementor/../../../../etc/passwd' # Attempt to access sensitive files

1. 2024-08-19Disclosure

   disclosure

1. 予約済み2024-08-09
2. 公開日2024-08-19
3. 更新日2024-08-20
4. EPSS 更新日2026-04-02

この脆弱性への最も効果的な対策は、Woo Products Widgets For Elementorをバージョン2.0.1にアップデートすることです。アップデートがすぐに利用できない場合は、ファイルシステムへのアクセスを制限するWAF（Web Application Firewall）ルールを実装することを検討してください。また、WordPressのファイルパーミッションを適切に設定し、不要なファイルの読み取りアクセスを制限することも有効です。ファイルパーミッションの設定は、攻撃対象領域を最小限に抑えるために重要です。

アクティブインストール数

3Kニッチ

プラグイン評価

5.0

WordPressが必要

4.7+

動作確認済みバージョン

6.6.5

PHPが必要

7.4+