プラットフォーム
wordpress
コンポーネント
munk-sites
修正版
1.0.8
CVE-2025-25101は、MetricThemes Munk Sites WordPressプラグインに存在するクロスサイトリクエストフォージェリ（CSRF）脆弱性です。この脆弱性を悪用されると、攻撃者はユーザーの権限を装って不正な操作を実行し、Webサイトの機密情報を盗み出す可能性があります。影響を受けるバージョンは0.0.0から1.0.7までです。開発者はバージョン1.0.8へのアップデートを推奨しています。
このCSRF脆弱性は、攻撃者が認証されたユーザーとして動作することを可能にします。攻撃者は、ユーザーが意図せずに悪意のあるリクエストを実行させることで、Webサイトの重要な設定を変更したり、機密データを盗み出したり、不正なコンテンツを投稿したりする可能性があります。例えば、攻撃者はユーザーがログインしている状態で、悪意のあるリンクをクリックさせることで、ユーザーのプロファイルを変更したり、管理権限を取得したりする可能性があります。この脆弱性は、Webサイトのセキュリティを著しく損なう可能性があります。
この脆弱性は、2025年2月7日に公開されました。現時点では、公的なエクスプロイトコードは確認されていませんが、CSRF脆弱性は比較的簡単に悪用できるため、攻撃者による悪用が懸念されます。CISAのKEVリストへの登録状況は不明です。
Websites using the MetricThemes Munk Sites plugin, particularly those with administrative access or sensitive data, are at risk. Shared hosting environments where multiple websites share the same server resources are also at increased risk, as a compromise of one site could potentially lead to the compromise of others.
• wordpress / composer / npm:
grep -r 'munk-sites/includes/class-munk-sites-admin.php' . |
grep -i 'wp_send_json'• generic web:
curl -I https://example.com/munk-sites/admin/ | grep -i 'csrf-token'disclosure
エクスプロイト状況
EPSS
0.74% (73% パーセンタイル)
CISA SSVC
CVSS ベクトル
この脆弱性への最も効果的な対策は、Munk Sitesプラグインをバージョン1.0.8にアップデートすることです。アップデートがすぐに利用できない場合、WordPressのセキュリティプラグインを使用してCSRFトークンを実装するか、Webアプリケーションファイアウォール（WAF）を使用して悪意のあるリクエストをブロックすることを検討してください。また、ユーザーに対して、信頼できないWebサイトへのリンクをクリックしないように注意喚起することも重要です。アップデート後、プラグインのバージョンを確認し、CSRF対策が有効になっていることを確認してください。
CSRF 脆弱性を軽減するために、Munk Sites プラグインを最新バージョンにアップデートしてください。このアップデートは、攻撃者が偽装されたリクエストを通じて、お客様の WordPress サイトで不正なアクションを実行する可能性に対処します。アップデートする前に、必ずサイトのバックアップを作成してください。
脆弱性分析と重要アラートをメールでお届けします。
CVE-2025-25101は、MetricThemes Munk Sites WordPressプラグインのバージョン0.0.0～1.0.7に存在するクロスサイトリクエストフォージェリ（CSRF）脆弱性です。攻撃者は、この脆弱性を悪用して、ユーザーの権限を装って不正な操作を実行できます。
はい、Munk Sitesプラグインのバージョン0.0.0～1.0.7を使用しているWordPressサイトは、この脆弱性によって攻撃を受けるリスクがあります。攻撃者は、Webサイトの機密情報を盗んだり、不正な操作を実行したりする可能性があります。
Munk Sitesプラグインをバージョン1.0.8にアップデートすることで、この脆弱性を修正できます。アップデートがすぐに利用できない場合は、WordPressのセキュリティプラグインを使用してCSRFトークンを実装するか、WAFを使用して悪意のあるリクエストをブロックすることを検討してください。
現時点では、公的なエクスプロイトコードは確認されていませんが、CSRF脆弱性は比較的簡単に悪用できるため、攻撃者による悪用が懸念されます。
MetricThemesの公式アドバイザリは、通常、MetricThemesのWebサイトまたはWordPressプラグインリポジトリで入手できます。
依存関係ファイルをアップロードすれば、このCVEや他のCVEがあなたに影響するか即座にわかります。