WordPress VR Calendar プラグイン <= 2.4.0 - ローカルファイルインクルージョン (Local File Inclusion) 脆弱性

この脆弱性を悪用されると、攻撃者はVR CalendarがインストールされているPHP環境上で任意のファイルを読み出すことが可能になります。これにより、設定ファイル、ソースコード、データベース情報など、機密性の高い情報が漏洩するリスクがあります。攻撃者は、この脆弱性を利用して、Webサーバー上で任意のコードを実行したり、他のシステムへの攻撃の足がかりにしたりする可能性があります。特に、VR CalendarがWebサーバーのルートディレクトリにインストールされている場合、攻撃の影響範囲は広がる可能性があります。

Websites utilizing the VR Calendar plugin, particularly those running older versions (≤2.4.0), are at significant risk. Shared hosting environments are especially vulnerable, as they often have limited control over server configurations and plugin security. WordPress sites with weak file permission settings or inadequate input validation are also at increased risk.

• wordpress / composer / npm:

grep -r "../" /var/www/html/wp-content/plugins/vr-calendar/*

• wordpress / composer / npm:

wp plugin list --status=active | grep vr-calendar

• wordpress / composer / npm:

wp plugin update vr-calendar --all

1. 2024-10-05Disclosure

   disclosure

1. 予約済み2024-08-18
2. 公開日2024-10-05
3. 更新日2024-10-07
4. EPSS 更新日2026-04-02

この脆弱性への対応として、まずVR Calendarをバージョン2.4.1にアップデートすることを推奨します。アップデートが困難な場合は、Webサーバーの設定でVR Calendarのディレクトリへのアクセスを制限するなどの対策を講じる必要があります。また、WAF（Web Application Firewall）を導入し、パス・トラバーサル攻撃を検知・防御するルールを設定することも有効です。ファイルアクセスログを監視し、不審なアクセスがないか定期的に確認することも重要です。アップデート後、VR Calendarの動作を確認し、問題がないことを確認してください。