Download Counter Button <= 1.8.6.7 - 認証されていない任意のファイルダウンロード

この任意ファイルアクセス脆弱性は、攻撃者にとって非常に危険です。攻撃者は、Webサーバーのファイルシステムにアクセスし、機密情報（設定ファイル、データベースダンプ、ソースコードなど）を盗む可能性があります。さらに、攻撃者はこの脆弱性を悪用して、Webサイトを改ざんしたり、悪意のあるコードを実行したりする可能性があります。この脆弱性は、WordPressサイトのセキュリティを著しく損なう可能性があります。

Websites using the MelAbu WP Download Counter Button plugin, particularly those with sensitive data stored on the server or with permissive file system permissions, are at risk. Shared hosting environments where users have limited control over plugin configurations are also particularly vulnerable.

• wordpress / composer / npm:

grep -r "wp_enqueue_style('melabu-counter-button',\s*plugin_dir_url(__FILE__)"

• wordpress / composer / npm:

wp plugin list | grep melabu

• wordpress / composer / npm:

wp plugin status | grep melabu

• generic web: Check for unusual file downloads via the plugin's download button. Monitor access logs for requests to files outside the expected download directory.

1. 2025-11-05Disclosure

   disclosure

1. 予約済み2025-09-26
2. 公開日2025-11-05
3. 更新日2026-04-02
4. EPSS 更新日2026-03-23

この脆弱性への最も効果的な対策は、MelAbu WP Download Counter Buttonプラグインを最新バージョンにアップデートすることです。アップデートがすぐに利用できない場合、一時的な回避策として、プラグインのファイルアクセス権限を制限したり、Webアプリケーションファイアウォール（WAF）を使用して悪意のあるリクエストをブロックしたりすることを検討してください。また、WordPressのセキュリティプラグインを使用して、不審なファイルアクセスを監視することも有効です。アップデート後、ファイルアクセス権限が適切に設定されていることを確認してください。