プラットフォーム
wordpress
コンポーネント
wp-all-import-pro
修正版
4.9.4
WP All Import Proプラグインのバージョン4.9.3以前には、サーバーサイドリクエストフォージェリ（SSRF）の脆弱性が存在します。この脆弱性は、認証された攻撃者がWebアプリケーションを装って任意の場所にWebリクエストを送信することを可能にし、内部サービスへのアクセスや情報漏洩のリスクを高めます。特にクラウド環境では、インスタンスメタデータの読み取りも可能となり、機密情報の漏洩につながる可能性があります。バージョン4.9.4以降で修正されています。
このSSRF脆弱性を悪用されると、攻撃者はWP All Import Proプラグインを介して、内部ネットワーク上の他のサーバーやサービスにアクセスできるようになります。例えば、データベースサーバーや管理コンソールにアクセスし、機密情報を盗み出す可能性があります。クラウド環境では、インスタンスメタデータにアクセスすることで、クラウドプロバイダーの認証情報や設定情報を取得し、システムを乗っ取ることも考えられます。攻撃者は、この脆弱性を利用して、内部ネットワークへの侵入経路を確立し、さらなる攻撃を実行する可能性があります。
この脆弱性は、認証された管理者権限を持つユーザーが利用可能です。現時点では、公開されているPoCは確認されていませんが、SSRF脆弱性は悪用が容易であり、今後積極的に悪用される可能性があります。CISAのKEVリストへの登録状況は不明です。NVD（National Vulnerability Database）には2024年12月17日に公開されています。
WordPress websites utilizing the WP All Import Pro plugin, particularly those running versions prior to 4.9.3, are at risk. Websites hosted on cloud platforms (AWS, Google Cloud, Azure) are especially vulnerable due to the potential for attackers to access cloud metadata. Sites with weak password policies or compromised administrator accounts are also at higher risk.
• wordpress / plugin:
grep -r 'pmxi_curl_download' /var/www/html/wp-content/plugins/wp-all-import-pro/• wordpress / plugin:
wp plugin list | grep 'wp-all-import-pro'• generic web:
curl -I https://your-wordpress-site.com/wp-content/plugins/wp-all-import-pro/ | grep Server• generic web:
curl -I https://your-wordpress-site.com/wp-content/plugins/wp-all-import-pro/ | grep X-Powered-Bydisclosure
エクスプロイト状況
EPSS
0.30% (54% パーセンタイル)
CISA SSVC
CVSS ベクトル
WP All Import Proプラグインをバージョン4.9.4以降にアップデートすることが最も効果的な対策です。アップデートが困難な場合は、WAF（Web Application Firewall）を導入し、SSRF攻撃を検知・防御するルールを設定することを推奨します。また、WordPressの設定でdefine('DISABLESSLVERIFY', true);を無効化し、SSL証明書の検証を有効にすることで、攻撃対象領域を狭めることができます。プラグインの利用頻度を減らす、または代替プラグインの利用も検討してください。
WP All Import Pro プラグインを最新バージョンにアップデートしてください。SSRF 脆弱性は、認証された攻撃者がサーバーから任意の場所へのウェブリクエストを実行することを可能にし、アプリケーションおよび内部サービスのセキュリティを損なう可能性があります。アップデートにより、pmxi_curl_download 関数における SSRF 保護の欠如が修正されます。
脆弱性分析と重要アラートをメールでお届けします。
CVE-2024-9624は、WP All Import Proプラグインのバージョン4.9.3以前に存在するサーバーサイドリクエストフォージェリ（SSRF）の脆弱性です。攻撃者が内部サービスにアクセスし、機密情報を盗み出す可能性があります。
WP All Import Proプラグインのバージョン4.9.3以前を使用している場合は、影響を受ける可能性があります。特に、クラウド環境でホスティングされているサイトや、内部ネットワークへのアクセス権限を持つユーザーがいるサイトは注意が必要です。
WP All Import Proプラグインをバージョン4.9.4以降にアップデートしてください。アップデートが困難な場合は、WAFを導入するなど、代替の対策を検討してください。
現時点では、公開されているPoCは確認されていませんが、SSRF脆弱性は悪用が容易であり、今後積極的に悪用される可能性があります。
WP All Import Proプラグインの公式アドバイザリは、[https://wpallimport.com/security/](https://wpallimport.com/security/) で確認できます。
依存関係ファイルをアップロードすれば、このCVEや他のCVEがあなたに影響するか即座にわかります。