WordPress DyaPress ERP/CRM プラグイン <= 18.0.2.0 - ローカルファイルインクルージョン (Local File Inclusion) 脆弱性

この脆弱性を悪用されると、攻撃者はDyaPress ERP/CRMのファイルシステムを自由に探索し、機密情報（データベースの認証情報、ソースコード、設定ファイルなど）を窃取する可能性があります。さらに、ローカルファイルインクルージョンを通じて悪意のあるコードを実行し、システムを完全に制御するリスクも存在します。攻撃者は、Webサーバーのコンテキストでコードを実行できるため、他のシステムへの横展開も可能になる可能性があります。この脆弱性は、Log4Shellのようなサプライチェーン攻撃の起点となる可能性も否定できません。

Organizations using DyaPress ERP/CRM, particularly those with older versions (0.0.0–18.0.2.0) and those with limited security controls, are at significant risk. Shared hosting environments where multiple users share the same server are also particularly vulnerable, as a compromise of one DyaPress ERP/CRM instance could potentially affect other tenants.

• wordpress / composer / npm:

grep -r "../" /var/www/dyapress/

• generic web:

curl -I http://your-dyapress-server.com/../../../../etc/passwd

• wordpress / composer / npm:

wp plugin list --all | grep dyapress

1. 2025-04-10Disclosure

   disclosure

1. 予約済み2025-03-24
2. 公開日2025-04-10
3. 更新日2026-04-28
4. EPSS 更新日2026-03-23

DyaPress ERP/CRMをバージョン18.0.3以降にアップデートすることが最も効果的な対策です。アップデートが困難な場合は、Webアプリケーションファイアウォール（WAF）を導入し、パス・トラバーサル攻撃を検知・防御するルールを設定してください。また、ファイルアクセス権限を適切に設定し、不要なファイルの読み取りアクセスを制限することも有効です。ファイルインクルージョンの可能性を低減するために、入力値の検証を強化し、ファイルパスをサニタイズするなどの対策も検討してください。