WP Foodbakery <= 4.7 - foodbakery_registration_validationにおける認証されていない権限昇格

この脆弱性を悪用されると、攻撃者はWP Foodbakeryプラグインを介してWordPressサイトに管理者アカウントを不正に作成できます。これにより、攻撃者はサイトのコンテンツを改ざんしたり、機密情報を盗み出したり、悪意のあるコードを実行したりすることが可能になります。サイト全体のセキュリティが脅かされ、ビジネスへの影響も甚大となる可能性があります。この脆弱性は、WordPressサイトのセキュリティを根底から揺るがす重大な脅威です。

Websites using the WP Foodbakery plugin, particularly those with open user registration enabled, are at significant risk. Shared hosting environments where plugin updates are not managed by the website owner are also especially vulnerable. Sites relying on WP Foodbakery for critical functionality or storing sensitive user data face the highest potential impact.

• wordpress / composer / npm:

grep -r 'update_user_meta' /var/www/html/wp-content/plugins/wp-foodbakery/

• wordpress / composer / npm:

wp plugin list --status=all | grep wp-foodbakery

• wordpress / composer / npm:

wp plugin update wp-foodbakery --all

1. 2025-02-11Disclosure

   disclosure

1. 予約済み2025-01-02
2. 公開日2025-02-11
3. 更新日2026-04-08
4. EPSS 更新日2026-04-02

WP Foodbakeryプラグインのバージョン4.7より後の最新バージョンにアップデートすることが最も効果的な対策です。アップデートが困難な場合は、プラグインの機能を一時的に無効化するか、ユーザー登録機能を制限するなどの回避策を検討してください。また、WordPressのセキュリティプラグインを導入し、不正なユーザー登録を検知するルールを設定することも有効です。WAF（Web Application Firewall）を導入し、管理者アカウントの作成を試みる不正なリクエストをブロックすることも有効な手段となります。