WordPress Ultimate Classified Listings プラグイン <= 1.4 - ローカルファイルインクルージョン (Local File Inclusion) 脆弱性

この脆弱性を悪用されると、攻撃者はサーバー上の任意のファイルを読み取ることが可能になります。これにより、設定ファイル、ソースコード、データベースのバックアップなど、機密情報が漏洩する可能性があります。攻撃者は、この脆弱性を利用して、Webサイトのコードを改ざんしたり、悪意のあるコードを実行したりすることも考えられます。特に、データベースの認証情報が漏洩した場合、データベースへの不正アクセスやデータの改ざん、削除といった深刻な被害につながる可能性があります。この脆弱性は、類似のファイルインクルージョン脆弱性と同様に、攻撃者にとって魅力的な標的となりえます。

WordPress websites utilizing the Ultimate Classified Listings plugin, particularly those running versions 1.4 or earlier, are at risk. Shared hosting environments where users have limited control over plugin installations are also particularly vulnerable, as are sites with outdated or unmanaged WordPress installations.

• wordpress / composer / npm:

grep -r "../" /var/www/html/wp-content/plugins/ultimate-classified-listings/

• generic web:

curl -I 'http://your-wordpress-site.com/wp-content/plugins/ultimate-classified-listings/../../../../etc/passwd' # Check for file disclosure

1. 2024-11-20Disclosure

   disclosure

1. 予約済み2024-11-11
2. 公開日2024-11-20
3. EPSS 更新日2026-04-02

まず、Ultimate Classified Listingsをバージョン1.4.1にアップデートすることを強く推奨します。アップデートが困難な場合は、Webサーバーの設定で、Ultimate Classified Listingsのディレクトリへのアクセスを制限するルールを実装してください。WAF（Web Application Firewall）を使用している場合は、ディレクトリトラバーサル攻撃を検知・防御するルールを追加することも有効です。また、ファイルインクルージョンを防止するために、入力値の検証を徹底し、ファイルパスを適切にサニタイズする必要があります。アップデート後、ファイルシステムへの不正アクセスがないか、ログを監視し、確認してください。

アクティブインストール数

20

プラグイン評価

5.0

WordPressが必要

3.5+

動作確認済みバージョン

6.9.4