WP Maps <= 4.8.6 - 認証済み (購読者+) 限定 ローカルファイルインクルージョン

このLFI脆弱性は、攻撃者にとって非常に危険です。攻撃者は、Subscriberレベル以上のアクセス権を持つだけで、サーバー上の任意のHTMLファイルを読み込むことができ、そのファイルにPHPコードが含まれている場合、コード実行が可能になります。これにより、攻撃者はWordPressサイトの完全な制御を奪うことができ、機密情報を盗んだり、ウェブサイトを改ざんしたり、他のシステムへの攻撃の足がかりにしたりする可能性があります。特に、攻撃者がアップロードできるHTMLファイルの種類によっては、より深刻な影響を受ける可能性があります。この脆弱性は、WordPressサイトのセキュリティを著しく損なう可能性があります。

Websites utilizing the WP Maps plugin, particularly those with a large number of users with Subscriber-level access, are at significant risk. Shared hosting environments where users have limited control over server configurations are also particularly vulnerable. Sites with outdated WordPress installations or inadequate security practices are also at increased risk.

• wordpress / composer / npm:

grep -r 'fc_load_template' /var/www/html/wp-content/plugins/wp-maps/

• wordpress / composer / npm:

wp plugin list | grep "WP Maps"

• wordpress / composer / npm:

wp plugin update wp-maps

• wordpress / composer / npm:

wp plugin status wp-maps

1. 2026-02-16Disclosure

   disclosure

1. 予約済み2025-10-22
2. 公開日2026-02-16
3. 更新日2026-04-08
4. EPSS 更新日2026-03-23

この脆弱性への最も効果的な対策は、WP Mapsプラグインをバージョン4.8.7にアップデートすることです。アップデートがすぐに利用できない場合、一時的な対策として、WordPressの設定でファイルアップロードを制限したり、WP Mapsプラグインのディレクトリへのアクセスを制限したりすることができます。また、WAF（Web Application Firewall）を導入し、LFI攻撃を検知・防御することも有効です。プラグインのファイルアクセスを厳格に制限し、不必要なファイルの読み込みを防止することが重要です。アップデート後、プラグインの動作を確認し、問題がないことを確認してください。

アクティブインストール数

60Kニッチ

プラグイン評価

4.3

WordPressが必要

3.4+

動作確認済みバージョン

6.9.4

PHPが必要

5.3+