InstaWP Connect <= 0.1.0.85 - 認証されていないローカル PHP ファイルインクルージョン

このLocal File Inclusionの脆弱性は、攻撃者にとって非常に危険です。認証なしで任意のファイルをインクルードできるため、サーバー上の機密ファイル（設定ファイル、データベース接続情報など）を窃取したり、悪意のあるPHPコードをインクルードしてサーバーを完全に制御したりすることが可能です。特に、phpファイルタイプがアップロード可能である場合や、ローカルファイルシステムに既に存在するPHPファイルを利用することで、攻撃はより容易になります。この脆弱性は、WordPressサイト全体のセキュリティを脅かす重大なリスクとなります。

WordPress websites using the InstaWP Connect plugin, particularly those with default file upload permissions or those running older, unpatched versions of WordPress, are at significant risk. Shared hosting environments where users have limited control over server file permissions are also particularly vulnerable.

• wordpress / composer / npm:

grep -r 'instawp-database-manager' /var/www/html/

• wordpress / composer / npm:

wp plugin list | grep InstaWP Connect

• wordpress / composer / npm:

find /var/www/html/wp-content/plugins/instawp-connect -type f -name '*.php' -print0 | xargs -0 grep 'instawp-database-manager'

1. 2025-04-11Disclosure

   disclosure

1. 予約済み2025-03-21
2. 公開日2025-04-11
3. 更新日2026-04-08
4. EPSS 更新日2026-03-23

この脆弱性への対応として、まずInstaWP Connectプラグインを最新バージョンにアップデートすることが最も重要です。アップデートが利用できない場合、一時的な回避策として、WordPressの.htaccessファイルに、instawp-database-managerパラメータへのアクセスを制限するルールを追加することを検討してください。また、WAF（Web Application Firewall）を導入し、不審なファイルインクルードリクエストをブロックすることも有効です。プラグインのファイルアクセス権限を適切に設定し、不要なファイルの書き込み権限を削除することも重要です。アップデート後、プラグインの動作を確認し、問題がないことを確認してください。

アクティブインストール数

40K既知

プラグイン評価

4.5

WordPressが必要

5.6+

動作確認済みバージョン

6.9.4

PHPが必要

7.0+