プラットフォーム
wordpress
コンポーネント
clasifico-listing
修正版
2.1
Clasifico Listingプラグインにおける特権昇格の脆弱性（CVE-2025-12882）は、WordPressサイトに深刻な影響を与える可能性があります。この脆弱性は、新規アカウント登録時にユーザーが自身のロールを自由に設定できる機能の不備に起因します。バージョン1.0.0から2.0までのClasifico Listingプラグインを使用しているWordPressサイトは、攻撃を受けるリスクがあります。脆弱性はバージョン2.1で修正されています。
この脆弱性を悪用されると、攻撃者は認証なしでWordPressサイトにアカウントを作成し、'listinguserrole'パラメータを操作することで管理者権限を取得できます。これにより、攻撃者はサイトのコンテンツを改ざんしたり、機密情報を盗み出したり、悪意のあるコードを実行したりすることが可能になります。サイト全体の制御を奪われる可能性もあり、ビジネスへの影響は甚大です。特に、WordPressをECサイトとして利用している場合、顧客情報や決済情報が漏洩するリスクも考慮する必要があります。この脆弱性は、WordPressの他のプラグインやテーマのセキュリティにも影響を及ぼす可能性があります。
この脆弱性は、公開されており、攻撃者による悪用が懸念されます。現時点では、CVEデータベースに登録されており、CISA KEVカタログへの追加も検討されている可能性があります。PoC（Proof of Concept）コードの公開状況は確認されていませんが、脆弱性の深刻度から、今後PoCが公開される可能性は高いと考えられます。攻撃者による活発なスキャンや攻撃キャンペーンの開始に備える必要があります。
エクスプロイト状況
EPSS
0.10% (28% パーセンタイル)
CISA SSVC
CVSS ベクトル
Clasifico Listingプラグインのバージョンを2.1以上にアップデートすることが最も効果的な対策です。アップデートできない場合は、WordPressのユーザー管理機能を制限し、新規アカウント登録時に管理者ロールを許可しないように設定することで、リスクを軽減できます。また、WAF（Web Application Firewall）を導入し、'listinguserrole'パラメータの不正な操作を検知・ブロックするルールを設定することも有効です。WordPressのセキュリティプラグインを活用し、定期的なスキャンを実施することで、潜在的な脆弱性を早期に発見できます。
既知の修正パッチはありません。脆弱性の詳細を詳細に確認し、組織のリスク許容度に基づいて軽減策を講じてください。影響を受けるソフトウェアをアンインストールし、代替手段を見つけるのが最善かもしれません。
脆弱性分析と重要アラートをメールでお届けします。
CVE-2025-12882は、WordPressのClasifico Listingプラグインにおいて、新規アカウント登録時に管理者権限を不正に取得できる脆弱性です。
Clasifico Listingプラグインのバージョンが1.0.0から2.0の場合、この脆弱性の影響を受けます。バージョン2.1以降を使用している場合は影響を受けません。
Clasifico Listingプラグインをバージョン2.1以上にアップデートしてください。アップデートできない場合は、ユーザー管理機能を制限し、WAFを導入するなど、緩和策を講じてください。
この脆弱性は公開されており、攻撃者による悪用が懸念されています。
Clasifico Listingプラグインの公式アドバイザリは、プラグインの公式サイトまたはWordPressのセキュリティ情報ページで確認できます。
依存関係ファイルをアップロードすれば、このCVEや他のCVEがあなたに影響するか即座にわかります。