Event Manager, Events Calendar, Tickets, Registrations – Eventin <= 4.0.24 - 認証済み (コントリビューター以上) ローカルファイルインクルージョン

このLFI脆弱性は、攻撃者にとって非常に危険です。攻撃者は、styleパラメータを悪用することで、サーバー上の任意のファイルを読み込むことができ、その内容を実行することができます。これにより、攻撃者は機密情報（データベースの認証情報、APIキーなど）を盗み出すことが可能になります。さらに、攻撃者は悪意のあるPHPコードをインクルードすることで、サーバーを完全に制御下に置くことも可能です。特に、画像やその他の安全なファイルタイプをアップロードできる環境では、この脆弱性が悪用されるリスクが高まります。この脆弱性は、WordPressサイト全体のセキュリティを脅かす重大な問題です。

WordPress websites utilizing the Eventin plugin, particularly those with multiple contributors or users with elevated privileges, are at risk. Shared hosting environments where users have limited control over server configurations are also at increased risk, as are websites with legacy Eventin plugin versions that are no longer actively maintained.

• wordpress / composer / npm:

grep -r 'style=../../' /var/www/html/wp-content/plugins/eventin/

• generic web:

curl -I 'https://your-wordpress-site.com/wp-content/plugins/eventin/?style=../../../../etc/passwd' # Check for file disclosure

1. 2025-03-20Disclosure

   Public disclosure

1. 予約済み2025-02-28
2. 公開日2025-03-20
3. 更新日2026-04-08
4. EPSS 更新日2026-04-02

Eventin WordPressプラグインのバージョン4.0.24以降にアップデートすることが、この脆弱性に対する最も効果的な対策です。アップデートが利用できない場合、一時的な回避策として、WordPressの.htaccessファイルに特定のディレクトリへのアクセスを制限するルールを追加することを検討してください。また、WAF（Web Application Firewall）を導入し、LFI攻撃を検知・ブロックするルールを設定することも有効です。Eventinプラグインのstyleパラメータに対する入力を厳密に検証するカスタムコードを実装することも可能です。アップデート後、プラグインのログを確認し、不審なアクティビティがないか確認してください。

アクティブインストール数

10K既知

プラグイン評価

4.6

WordPressが必要

6.2+

動作確認済みバージョン

6.9.4

PHPが必要

7.4+