WordPress Store Locator プラグイン <= 3.98.10 - ローカルファイルインクルージョン (Local File Inclusion) 脆弱性

この脆弱性は、攻撃者がサーバー上の任意のファイルを読み取ることができるため、深刻な影響をもたらす可能性があります。攻撃者は、設定ファイル、データベースファイル、ソースコードなどの機密情報を盗み出すことができ、それらの情報を利用してシステムを完全に制御する可能性があります。特に、データベースファイルが漏洩した場合、ユーザーの個人情報や認証情報が漏洩するリスクがあります。この脆弱性は、Log4Shellのようなサプライチェーン攻撃の起点となる可能性も否定できません。

WordPress websites utilizing the moaluko Store Locator plugin, particularly those running older versions (0.0.0–3.98.10), are at significant risk. Shared hosting environments where multiple websites share the same server resources are especially vulnerable, as a compromise of one site could potentially lead to the compromise of others.

• wordpress / plugin:

wp plugin list --status=inactive | grep store-locator

• wordpress / plugin:

wp plugin update --all

• generic web:

curl -I 'https://your-wordpress-site.com/wp-content/plugins/store-locator/../../../../etc/passwd' # Check for file disclosure

• generic web:

 grep -r "../" /var/log/apache2/access.log # Look for path traversal attempts in logs

1. 2025-01-24Disclosure

   disclosure

1. 予約済み2025-01-16
2. 公開日2025-01-24
3. 更新日2026-04-28
4. EPSS 更新日2026-04-02

まず、moaluko Store Locatorをバージョン3.98.11にアップデートすることを強く推奨します。アップデートが困難な場合は、Webアプリケーションファイアウォール（WAF）を導入し、Path Traversal攻撃を検知・防御するルールを設定してください。また、Store Locatorのディレクトリへのアクセス権を制限し、不要なファイルの公開を避けるように設定を見直してください。ファイルインクルージョンの試行を検知するために、アクセスログを監視し、異常なファイルアクセスを特定するアラートを設定することも有効です。