Yoco Payments <= 3.9.0 - 認証されていない任意のファイル読み出し

このパス・トラバーサル脆弱性は、攻撃者がYoco Paymentsプラグインのファイルパラメータを操作することで、サーバー上のファイルシステムを探索し、機密情報を含むファイルを読み取れることを意味します。例えば、設定ファイル、データベースのバックアップ、またはソースコードから、APIキー、データベースの認証情報、またはその他の機密データが漏洩する可能性があります。攻撃者は、この情報を利用して、システムへのさらなるアクセスを試みたり、データを改ざんしたり、サービスを妨害したりする可能性があります。WordPressプラグインの脆弱性は、しばしば広範囲に影響を及ぼす可能性があり、攻撃者は多数のウェブサイトを標的にする可能性があります。

Websites using the Yoco Payments plugin, particularly those running older versions (0.0.0 - 3.9.0), are at risk. Shared hosting environments are particularly vulnerable, as attackers may be able to exploit this vulnerability to gain access to files on other websites hosted on the same server.

• wordpress / composer / npm:

grep -r 'file=([^&]+)' /var/www/html/wp-content/plugins/yoco-payments/*

• generic web:

curl -I 'http://your-wordpress-site.com/wp-content/plugins/yoco-payments/../../../../etc/passwd'

1. 2026-01-07Disclosure

   disclosure

1. 予約済み2025-11-30
2. 公開日2026-01-07
3. 更新日2026-04-08
4. EPSS 更新日2026-03-23

この脆弱性への最も効果的な対策は、Yoco Paymentsプラグインをバージョン3.9.1以降にアップデートすることです。アップデートがすぐに利用できない場合、一時的な緩和策として、ウェブサーバーの設定でファイルアクセスを制限し、Yoco Paymentsプラグインのディレクトリへのアクセスを厳密に制御することを検討してください。また、WAF（Web Application Firewall）を導入し、パス・トラバーサル攻撃を検知・ブロックするルールを設定することも有効です。プラグインのアップデート後、ファイルアクセス権限が適切に設定されていることを確認し、機密情報が保護されていることを検証してください。