GetContentFromURL <= 1.0 - Authenticated (Contributor+) 'url' ショートコード属性によるサーバーサイドリクエスト偽造 (Server-Side Request Forgery)

このSSRF脆弱性を悪用されると、攻撃者は内部ネットワーク上の機密情報にアクセスしたり、内部サービスを悪用したりする可能性があります。例えば、内部データベースへのアクセス、管理インターフェースへのアクセス、または他の内部システムへの攻撃などが考えられます。攻撃者は、[gcfu]ショートコードの'url'パラメータを操作することで、任意のURLを指定し、ウェブアプリケーションからそのURLへのリクエストを送信できます。この脆弱性は、WordPressサイトのセキュリティを著しく損なう可能性があります。

WordPress websites utilizing the GetContentFromURL plugin, particularly those with users having Contributor or higher access levels, are at risk. Shared hosting environments where users have limited control over plugin installations are also particularly vulnerable. Sites with legacy configurations or those lacking robust WAF protection are more susceptible to exploitation.

• wordpress / plugin: Use wp-cli to check plugin versions: wp plugin list --status=active. Look for GetContentFromURL versions prior to the patched version (once released). • generic web: Monitor access logs for outbound requests to unusual or internal IP addresses originating from the WordPress server.

 grep "gcfu shortcode" /var/log/apache2/access.log | grep "internal.domain.com" 

1. 2026-01-14Disclosure

   disclosure

1. 予約済み2025-12-12
2. 公開日2026-01-14
3. 更新日2026-04-08
4. EPSS 更新日2026-03-23

この脆弱性への対応策として、まずGetContentFromURLプラグインを最新バージョンにアップデートすることを推奨します。アップデートが困難な場合は、wpsaferemote_get()を使用するようにプラグインのコードを修正するか、プラグインの使用を一時的に停止することを検討してください。また、WAF（Web Application Firewall）を導入し、SSRF攻撃を検知・防御するルールを設定することも有効です。WordPressのセキュリティプラグインでSSRF攻撃を検知するルールを追加することも有効な対策となります。