WordPress ABCApp Creator プラグイン <= 1.1.2 - ローカルファイルインクルージョン (Local File Inclusion) 脆弱性

このパス・トラバーサル脆弱性は、攻撃者がABCApp Creatorが実行されているサーバー上の任意のファイルを読み取れることを意味します。攻撃者は、この脆弱性を悪用して、設定ファイル、ソースコード、データベースファイルなどの機密情報を盗み出す可能性があります。さらに、攻撃者はこの脆弱性を利用して、Webサーバーのコンテキストで任意のコードを実行し、システムを完全に制御する可能性があります。この脆弱性は、Webアプリケーションのセキュリティを著しく損ない、重大なデータ漏洩やシステム侵害につながる可能性があります。

Websites utilizing ABCApp Creator, particularly those running older versions (≤1.1.2), are at risk. Shared hosting environments are especially vulnerable as they often have limited control over server configurations and file permissions. Sites with misconfigured file access controls or inadequate WAF protection are also at increased risk.

• wordpress / composer / npm:

grep -r '../' /var/www/html/wp-content/plugins/abcapp-creator/*

• generic web:

curl -I 'http://your-website.com/index.php?page=../../../../etc/passwd'

• wordpress / composer / npm:

wp plugin list --status=inactive | grep abcapp-creator

• wordpress / composer / npm:

find /var/www/html/wp-content/plugins/abcapp-creator/ -name '*.php' -print0 | xargs -0 grep -i 'include('

1. 2024-10-05Disclosure

   disclosure

1. 予約済み2024-08-18
2. 公開日2024-10-05
3. 更新日2024-10-07
4. EPSS 更新日2026-04-02

この脆弱性への対応策として、まずABCApp Creatorをバージョン1.1.3にアップデートすることを強く推奨します。アップデートがすぐに利用できない場合、Webサーバーの設定で、ABCApp Creatorがアクセスできるディレクトリを制限するなどの緩和策を講じることができます。また、WAF（Web Application Firewall）を導入し、パス・トラバーサル攻撃を検知・防御するルールを設定することも有効です。ファイルアクセスを厳密に制御し、不要なファイルへのアクセスを制限することで、攻撃の影響範囲を最小限に抑えることができます。