WordPress Plugin A/B Image Optimizer プラグイン <= 3.3 - 任意のファイルダウンロードの脆弱性

このパス・トラバーサル脆弱性を悪用すると、攻撃者はWordPressサイトのファイルシステムを探索し、機密情報を含むファイルを読み出すことが可能になります。例えば、設定ファイル、データベースのバックアップ、またはユーザーのアップロードしたファイルなどが標的となる可能性があります。攻撃者は、この情報を利用して、サイトの改ざん、不正アクセス、さらにはサーバー全体の侵害を試みる可能性があります。この脆弱性は、WordPressサイトのセキュリティを著しく損なうリスクを孕んでいます。

WordPress websites using the A/B Image Optimizer plugin, particularly those running older versions (0.0.0–3.3), are at risk. Shared hosting environments where users have limited control over plugin installations are also particularly vulnerable.

• wordpress / composer / npm:

grep -r "../" /var/www/html/wp-content/plugins/images-optimizer/*

• generic web:

curl -I "http://your-wordpress-site.com/wp-content/plugins/images-optimizer/../../../../etc/passwd"

1. 2025-02-07Disclosure

   disclosure

1. 予約済み2025-02-03
2. 公開日2025-02-07
3. 更新日2026-04-28
4. EPSS 更新日2026-04-02

まず、A/B Image Optimizerプラグインをバージョン3.3.1にアップデートすることを強く推奨します。アップデートが困難な場合は、プラグインを一時的に無効化するか、ファイルシステムへのアクセスを制限するWAF（Web Application Firewall）やセキュリティプラグインを導入することを検討してください。また、WordPressのファイルアクセス権限を適切に設定し、不要なファイルへのアクセスを制限することも有効です。アップデート後、ファイルアクセス権限を確認し、不正なファイルへのアクセスがないか検証してください。