WordPress WPJobBoard プラグイン < 5.11.1 - CSRF によるリモートコード実行 (RCE) の脆弱性

このRCE脆弱性は、攻撃者にとって非常に危険です。攻撃者は、Webシェルをサーバーにアップロードすることで、サーバー上のファイルシステムへのアクセス、機密データの窃取、さらにはサーバー全体の制御を奪うことが可能になります。Webシェルは、攻撃者がサーバーにコマンドを実行するためのバックドアとして機能し、長期間にわたってシステムに潜伏する可能性があります。この脆弱性は、WordPressサイト全体のセキュリティを脅かす重大なリスクとなります。攻撃者は、認証されたユーザーのセッションを乗っ取ることで、この脆弱性を悪用する可能性があります。

Websites utilizing the WPJobBoard plugin, particularly those running older, unpatched versions (0.0 - 5.11.1), are at significant risk. Shared hosting environments where WordPress installations have limited access controls are especially vulnerable, as an attacker compromising one site could potentially exploit this vulnerability to gain access to others on the same server.

• wordpress / composer / npm:

grep -r 'wp_insert_file' /var/www/html/wp-content/plugins/wpjobboard/

• wordpress / composer / npm:

wp plugin list --status=active | grep wpjobboard

• wordpress / composer / npm:

curl -I https://your-wordpress-site.com/wp-content/plugins/wpjobboard/ | grep Server

1. 2025-04-15Disclosure

   disclosure

1. 予約済み2025-03-26
2. 公開日2025-04-15
3. 更新日2026-04-28
4. EPSS 更新日2026-03-23

WPJobBoardプラグインのバージョン5.11.1へのアップデートが最も効果的な対策です。アップデートがすぐに利用できない場合、Webアプリケーションファイアウォール（WAF）を使用して、CSRF攻撃をブロックすることを検討してください。また、WordPressのセキュリティプラグインを使用して、CSRF対策を強化することも有効です。アクセスログを監視し、不審なリクエストを検出することも重要です。WordPressのセキュリティ設定を見直し、不要なプラグインを無効化することも推奨されます。