プラットフォーム
wordpress
コンポーネント
wpevently
修正版
4.2.10
CVE-2025-30895は、magepeopleteam WpEventlyにおいて、パス・トラバーサル脆弱性が存在することが判明しました。この脆弱性は、攻撃者がPHPローカルファイルインクルージョンを実行することを可能にし、機密情報の漏洩やシステムへの不正アクセスを引き起こす可能性があります。影響を受けるバージョンは0.0.0から4.2.9です。バージョン4.2.10へのアップデートで修正されています。
この脆弱性を悪用されると、攻撃者はWpEventlyがインストールされているWordPress環境上の任意のファイルを読み取ることが可能になります。これにより、設定ファイル、データベースファイル、ソースコードなどの機密情報が漏洩するリスクがあります。さらに、攻撃者はこの脆弱性を利用して、悪意のあるコードを実行し、システムを完全に制御する可能性があります。特に、WordPressの管理画面への不正アクセスや、Webサイトの改ざんといった攻撃につながる可能性があります。類似の脆弱性は、ファイルアップロード機能の不備などから発生することがあります。
CVE-2025-30895は、2025年3月27日に公開されました。現時点では、公的なPoC（Proof of Concept）は確認されていませんが、パス・トラバーサル脆弱性は悪用が容易なため、早期に悪用される可能性があります。CISA KEVリストへの登録状況は不明です。NVD（National Vulnerability Database）の情報も参照し、最新の動向を注視する必要があります。
Websites using the WpEvently plugin, particularly those running older versions (0.0.0–4.2.9), are at risk. Shared hosting environments are particularly vulnerable as they often have limited access controls and a higher concentration of vulnerable plugins.
• wordpress / composer / npm:
grep -r "../" /var/www/html/wp-content/plugins/wp-evently/• generic web:
curl -I http://your-wordpress-site.com/wp-content/plugins/wp-evently/../../../../etc/passwddisclosure
エクスプロイト状況
EPSS
0.20% (42% パーセンタイル)
CISA SSVC
CVSS ベクトル
まず、WpEventlyをバージョン4.2.10にアップデートすることを推奨します。アップデートが困難な場合は、WAF（Web Application Firewall）やリバースプロキシを設定し、ファイルパスの検証を強化することで、攻撃を軽減できます。また、WordPressのファイルパーミッションを適切に設定し、Webサーバーがアクセスできないディレクトリへのアクセスを制限することも有効です。ファイルインクルージョンの試行を検知するためのログ監視ルールを実装し、異常なアクセスを早期に発見することも重要です。アップデート後、WpEventlyのファイルパーミッションと設定を確認し、不正なアクセスがないことを確認してください。
Actualice el plugin WpEvently a la última versión disponible para mitigar la vulnerabilidad de inyección de objetos PHP. Verifique la página del plugin en wordpress.org para obtener la versión más reciente y las instrucciones de actualización. Considere implementar medidas de seguridad adicionales, como limitar el acceso a archivos sensibles y validar las entradas del usuario.
脆弱性分析と重要アラートをメールでお届けします。
CVE-2025-30895は、WpEventlyプラグインにおけるパス・トラバーサル脆弱性で、攻撃者がPHPローカルファイルインクルージョンを実行し、機密情報を漏洩させる可能性があります。
WpEventlyのバージョンが0.0.0から4.2.9の場合は影響を受けます。バージョン4.2.10にアップデートすることで脆弱性を解消できます。
WpEventlyをバージョン4.2.10にアップデートしてください。アップデートが難しい場合は、WAFやファイルパーミッションの設定で緩和策を講じてください。
現時点では公的なPoCは確認されていませんが、パス・トラバーサル脆弱性は悪用が容易なため、早期に悪用される可能性があります。
magepeopleteamの公式サイトまたはWordPressプラグインリポジトリでアドバイザリを確認してください。
依存関係ファイルをアップロードすれば、このCVEや他のCVEがあなたに影響するか即座にわかります。