WordPress Vite Coupon プラグイン <= 1.0.9 - CSRF によるリモートコード実行 (RCE) の脆弱性

この脆弱性は、攻撃者が認証されたユーザーの権限を悪用し、サーバー上で任意のコードを実行することを可能にします。攻撃者は、CSRF攻撃を仕掛けることで、Vite Couponプラグインの機能を悪用し、機密情報の窃取、システムの改ざん、さらにはサーバー全体の制御奪取といった深刻な被害をもたらす可能性があります。特に、管理者権限を持つユーザーが攻撃の対象となった場合、その影響は甚大です。この脆弱性は、リモートコードインクルージョン（RCI）のパターンに類似しており、攻撃者は悪意のあるスクリプトをサーバーにアップロードし、実行させることが可能です。

Websites using the Vite Coupon plugin, particularly those with a large user base or handling sensitive customer data, are at significant risk. Shared WordPress hosting environments are especially vulnerable, as a compromise of one site can potentially impact others on the same server. Sites with outdated WordPress installations or weak CSRF protection are also at increased risk.

• wordpress / plugin: Use wp-cli to check the installed version of Vite Coupon: wp plugin version vite-coupon. If the version is less than 1.0.8, the system is vulnerable. • wordpress / plugin: Search WordPress plugin files for suspicious code related to code inclusion, particularly in areas handling user input or external data. • generic web: Monitor web server access logs for requests containing unusual parameters or file extensions associated with code execution (e.g., .php, .js, .cgi). • generic web: Inspect response headers for unexpected content or code execution indicators.

1. 2025-04-09Disclosure

   disclosure

1. 予約済み2025-04-09
2. 公開日2025-04-09
3. 更新日2026-04-28
4. EPSS 更新日2026-03-23

この脆弱性への最も効果的な対策は、Vite Couponプラグインをバージョン1.0.8以降にアップデートすることです。アップデートが困難な場合は、WordPressのセキュリティプラグインを利用してCSRF対策を強化することを検討してください。また、WAF（Web Application Firewall）を導入し、CSRF攻撃を検知・防御するルールを設定することも有効です。プラグインのアップデートが直ちに実行できない場合は、Vite Couponの機能を一時的に無効化することも検討してください。