Advanced File Manager <= 5.2.8 - 認証済み (管理者以上) のローカル JavaScript ファイルインクルージョン via fma_locale

この脆弱性を悪用されると、攻撃者は認証された状態でサーバー上の任意のPHPファイルをインクルードし、実行することができます。これにより、機密情報の窃取、アクセス制御のバイパス、さらにはサーバー全体の制御権の奪取といった深刻な被害が発生する可能性があります。攻撃者は、画像ファイルなどの安全なファイルタイプをアップロードし、それらをインクルードすることで、PHPコードを実行することが可能です。この脆弱性は、WordPressサイトのセキュリティを著しく損なう可能性があります。

WordPress websites utilizing the Advanced File Manager plugin, particularly those with administrator accounts that have not been secured with strong passwords or multi-factor authentication, are at risk. Shared hosting environments where multiple WordPress installations share the same server resources are also at increased risk, as a compromise of one site could potentially lead to the compromise of others.

• wordpress / composer / npm:

grep -r 'fma_locale' /var/www/html/wp-content/plugins/advanced-file-manager/

• generic web:

curl -I 'https://your-wordpress-site.com/wp-content/plugins/advanced-file-manager/?fma_locale=../../../../../../etc/passwd' # Check for file disclosure

1. 2024-09-26Disclosure

   disclosure

1. 予約済み2024-09-11
2. 公開日2024-09-26
3. EPSS 更新日2026-04-02

この脆弱性への最も効果的な対策は、Advanced File Managerプラグインをバージョン5.2.9以降にアップデートすることです。アップデートが困難な場合は、'fma_locale'パラメータへのアクセスを制限するWAFルールや、ファイルアップロードの制限を強化する設定を検討してください。また、WordPressのセキュリティプラグインを使用して、不正なファイルインクルージョンの試行を監視することも有効です。アップデート後、プラグインの動作確認を行い、問題がないことを確認してください。

アクティブインストール数

100Kニッチ

プラグイン評価

4.8

WordPressが必要

4.0+

動作確認済みバージョン

6.9.4

PHPが必要

7.0+