BuddyPress Xprofile Custom Field Types <= 1.2.8 - 認証済み (購読者+) による任意のファイル削除

この脆弱性を悪用されると、攻撃者はWordPressサイトのサーバー上で任意のファイルを削除できるようになります。特に、wp-config.phpファイルが削除された場合、データベースへのアクセスや設定ファイルの改ざんが可能となり、サイト全体の制御を奪われるリスクがあります。攻撃者は、削除したファイルの上書きや、悪意のあるコードの挿入などを通じて、サイトの改ざん、情報窃取、さらにはサーバー全体の乗っ取りといった深刻な被害をもたらす可能性があります。この脆弱性は、ファイル削除という直接的な攻撃経路を持つため、迅速な対応が求められます。

WordPress websites utilizing the BuddyPress Xprofile Custom Field Types plugin in versions 1.0.0 through 1.2.8 are at risk. This includes sites with Subscriber-level user roles, as these users are sufficient to exploit the vulnerability. Shared hosting environments are particularly vulnerable, as they often have limited access controls and a higher density of WordPress installations.

• wordpress / composer / npm:

wp plugin list --status=inactive | grep 'BuddyPress Xprofile Custom Field Types'

• wordpress / composer / npm:

wp plugin list | grep 'BuddyPress Xprofile Custom Field Types' && wp plugin version 'BuddyPress Xprofile Custom Field Types'

• wordpress / composer / npm:

find /var/www/html/wp-content/plugins/buddybp-xprofile-custom-field-types/ -name 'delete_field.php'

• wordpress / composer / npm:

wp plugin list | grep 'BuddyPress Xprofile Custom Field Types' && wp plugin path 'BuddyPress Xprofile Custom Field Types'

1. 2026-01-06Disclosure

   disclosure

1. 予約済み2025-12-20
2. 公開日2026-01-06
3. 更新日2026-04-08
4. EPSS 更新日2026-03-23

まず、BuddyPress Xprofile Custom Field Typesプラグインをバージョン1.3.0にアップデートすることが最も効果的な対策です。アップデートが困難な場合は、プラグインの無効化を検討してください。WAF（Web Application Firewall）を導入し、ファイル削除に関連するリクエストをブロックするルールを設定することも有効です。また、WordPressのファイルアクセス権限を適切に設定し、攻撃者がアクセスできるファイルを制限することも重要です。アップデート後、wp-config.phpファイルが存在し、適切な権限で設定されていることを確認してください。

アクティブインストール数

4Kニッチ

プラグイン評価

4.9

WordPressが必要

5.0+

動作確認済みバージョン

6.9.4

PHPが必要

5.3+