CVE-2025-2941: 任意ファイルアクセス in Drag and Drop Multiple File Upload for WooCommerce

この脆弱性を悪用されると、攻撃者はサーバー上のファイルを自由に移動させることができます。例えば、wp-config.phpファイルを別の場所に移動させることで、WordPressの設定ファイルにアクセスし、データベースの認証情報などを盗み出すことが可能になります。さらに、攻撃者はこの脆弱性を利用して、悪意のあるスクリプトをサーバーにアップロードし、実行することで、ウェブサイトを完全に制御下に置くこともできます。この脆弱性は、WordPressサイトの機密情報漏洩、改ざん、さらには完全なサーバー乗っ取りにつながる重大なリスクをもたらします。類似の脆弱性は、ファイルアップロード機能の不備から発生することが多く、適切なファイルパス検証の欠如が原因となります。

WordPress websites utilizing the Drag and Drop Multiple File Upload for WooCommerce plugin, particularly those running vulnerable versions (0.0.0–1.1.4), are at significant risk. Shared hosting environments where multiple WordPress installations share the same server resources are especially vulnerable, as a compromise of one site could potentially lead to the compromise of others.

• wordpress / composer / npm:

grep -r 'wc-upload-file[]' /var/www/html/wp-content/plugins/drag-and-drop-multiple-file-upload-for-woocommerce/

• generic web:

curl -I https://your-wordpress-site.com/wp-content/plugins/drag-and-drop-multiple-file-upload-for-woocommerce/ | grep Server

• wordpress / composer / npm:

wp plugin list --status=all | grep 'drag-and-drop-multiple-file-upload-for-woocommerce'

1. 2025-04-05Disclosure

   disclosure

1. 予約済み2025-03-28
2. 公開日2025-04-05
3. 更新日2026-04-08
4. EPSS 更新日2026-03-23

この脆弱性への対応として、まずDrag and Drop Multiple File Uploadプラグインを最新バージョン1.1.5以上にアップデートすることを強く推奨します。アップデートが困難な場合は、ファイルアップロード機能へのアクセスを一時的に制限するWAF（Web Application Firewall）やリバースプロキシの設定を検討してください。また、wp-config.phpファイルへのアクセスを厳格に制限するファイルシステムのパーミッション設定も有効です。攻撃者の侵入を検知するために、ファイルシステムの変更を監視するログ監視システムを導入し、不審なファイル移動を検知するルールを設定することも重要です。アップデート後、ファイルシステムの整合性を確認し、不正なファイルが存在しないことを確認してください。

アクティブインストール数

5Kニッチ

プラグイン評価

4.9

WordPressが必要

3.0.1+

動作確認済みバージョン

6.9.4

PHPが必要

5.2.4+