Export and Import Users and Customers <= 2.6.2 - Authenticated (Administrator+) validate_file 関数経由の Server-Side Request Forgery

このSSRF脆弱性は、攻撃者が内部ネットワークにアクセスし、機密情報を盗み出すことを可能にします。例えば、内部APIを呼び出して認証情報を取得したり、データベースにアクセスしてデータを改ざんしたりする可能性があります。また、この脆弱性を悪用して、他の内部システムへの攻撃の足がかりにすることも考えられます。攻撃範囲は、内部ネットワーク全体に及ぶ可能性があります。Log4Shellのような広範囲な影響を及ぼす可能性は低いですが、内部システムへのアクセス権限を持つ攻撃者にとっては、非常に危険な脆弱性です。

WordPress websites utilizing the Export and Import Users and Customers plugin, particularly those with administrator accounts that have not been updated to version 2.6.3, are at risk. Shared hosting environments where plugin updates are managed centrally are also vulnerable if the plugin hasn't been updated across all accounts.

• wordpress / composer / npm:

grep -r 'validate_file()' /var/www/html/wp-content/plugins/export-and-import-users-and-customers/

• generic web:

curl -I https://your-wordpress-site.com/wp-content/plugins/export-and-import-users-and-customers/ | grep Server

1. 2025-03-22Disclosure

   disclosure

1. 予約済み2025-03-04
2. 公開日2025-03-22
3. 更新日2026-04-08
4. EPSS 更新日2026-04-02

まず、プラグインをバージョン2.6.3にアップデートすることが最も効果的な対策です。アップデートが困難な場合は、WAF（Web Application Firewall）を導入し、SSRF攻撃を検知・防御するルールを設定することを検討してください。また、WordPressの設定で、プラグインがアクセスできる外部URLを制限することも有効です。具体的には、define('WPHTTPBLOCK_HOSTS', array('evil.com', 'another-evil.com'));のようなコードをwp-config.phpに追加することで、特定のホストへのアクセスをブロックできます。アップデート後、プラグインの動作を確認し、SSRF攻撃が発生していないことを確認してください。

アクティブインストール数

60K既知

プラグイン評価

4.8

WordPressが必要

3.0.1+

動作確認済みバージョン

6.9.4

PHPが必要

5.6+