WordPress Landing Page Builder プラグイン <= 1.5.2.0 - ローカルファイルインクルージョン (Local File Inclusion) 脆弱性

この脆弱性は、攻撃者がサーバー上の任意のファイルを読み取ることができるため、重大な影響をもたらす可能性があります。攻撃者は、設定ファイル、ソースコード、データベースのバックアップなど、機密情報を含むファイルを読み取る可能性があります。これにより、認証情報の漏洩、システム設定の変更、さらにはリモートコード実行につながる可能性があります。特に、Landing Page Builderが機密情報を扱う場合、この脆弱性の影響は甚大です。類似のLFI脆弱性は、情報漏洩やシステム制御の奪取に利用される事例が報告されています。

WordPress websites utilizing the PluginOps Landing Page Builder plugin, particularly those running versions prior to 1.5.3, are at risk. Shared hosting environments are especially vulnerable as they often have limited control over server file permissions, increasing the potential impact of a successful exploit.

• wordpress / plugin:

wp plugin list | grep Landing Page Builder

• wordpress / plugin: Check for file inclusion attempts in WordPress access logs, looking for patterns like ../ or ../../ in the request URI. • wordpress / plugin: Examine the Landing Page Builder plugin's code for instances of filegetcontents or similar functions that handle user-supplied input without proper sanitization.

1. 2024-08-19Disclosure

   disclosure

1. 予約済み2024-08-09
2. 公開日2024-08-19
3. EPSS 更新日2026-04-02

まず、Landing Page Builderをバージョン1.5.3にアップデートすることが最も効果的な対策です。アップデートが直ちに困難な場合は、ファイルシステムのアクセス権限を適切に設定し、Landing Page Builderがアクセスできるファイルを制限することで、攻撃の影響を軽減できます。また、WAF（Web Application Firewall）を導入し、LFI攻撃のパターンを検知・遮断するルールを設定することも有効です。ファイルシステムの監視を強化し、不正なファイルアクセスを検知する仕組みを導入することも推奨されます。

アクティブインストール数

10K既知

プラグイン評価

4.6

WordPressが必要

4.6+

動作確認済みバージョン

6.8.5

PHPが必要

5.6+