LEAV Last Email Address Validator <= 1.7.1 - プラグイン設定の更新におけるクロスサイトリクエストフォージェリ (Cross-Site Request Forgery)

このXSRF脆弱性を悪用されると、攻撃者はWordPressサイトの管理者権限を持つユーザーを騙し、LEAV Last Email Address Validatorプラグインの設定を不正に変更できます。これにより、メールアドレスの検証設定が変更されたり、悪意のあるスクリプトが挿入されたりする可能性があります。攻撃者は、管理者ユーザーがクリックするリンクを作成し、そのリンクをクリックさせることで、不正な設定変更を実行できます。この脆弱性は、WordPressサイトのセキュリティを著しく損なう可能性があります。

WordPress sites utilizing the LEAV Last Email Address Validator plugin, particularly those with site administrators who are susceptible to social engineering attacks, are at risk. Shared hosting environments where multiple websites share the same server resources could also be affected if one site is compromised.

• wordpress / composer / npm:

grep -r 'display_settings_page' /var/www/html/wp-content/plugins/leav-last-email-address-validator/

• wordpress / composer / npm:

wp plugin list --status=inactive | grep leav-last-email-address-validator

• wordpress / composer / npm:

wp plugin update --all

1. 2026-01-16Disclosure

   disclosure

1. 予約済み2025-12-17
2. 公開日2026-01-16
3. 更新日2026-04-08
4. EPSS 更新日2026-03-23

この脆弱性への対応策として、まずLEAV Last Email Address Validatorプラグインを最新バージョンにアップデートすることが最も重要です。アップデートが困難な場合は、Web Application Firewall (WAF) を導入し、XSRF攻撃を検知・防御するルールを設定してください。また、WordPressのセキュリティプラグインを活用し、nonce検証の強化や、不審なリクエストの監視を行うことも有効です。プラグインのアップデート後、設定が正常に適用されているか確認し、セキュリティログを監視して不正なアクセスがないか確認してください。