プラットフォーム
wordpress
コンポーネント
mstore-api
修正版
4.17.3
MStore API WordPressプラグインには、バージョン0.0.0から4.17.4までの範囲で権限昇格の脆弱性が存在します。この脆弱性は、ロール登録時の制限不足が原因で発生し、攻撃者が不正に権限を取得する可能性があります。WCFM Marketplace – Multivendor Marketplace for WooCommerceプラグインがインストールされている環境でのみ悪用可能です。バージョン4.17.3へのアップデートで修正されています。
この脆弱性を悪用されると、認証されていない攻撃者が'wcfm_vendor'ロールで登録できるようになります。このロールは、WCFM Marketplaceプラグインにおけるストアベンダーの役割を担います。攻撃者は、この権限を利用して、ストアの管理機能へのアクセス、データの改ざん、不正な商品登録など、様々な悪意のある行為を実行する可能性があります。WCFM Marketplaceプラグインが導入されているWordPressサイト全体が影響を受ける範囲となり、データ漏洩やサービス停止といった深刻な被害につながる可能性があります。
この脆弱性は、2025年5月2日に公開されました。現時点では、公開されているPoCは確認されていませんが、WCFM Marketplaceプラグインの導入状況を考慮すると、悪用される可能性は否定できません。CISA KEVへの登録状況は不明です。攻撃者によるスキャンや悪用試行に備え、早期の対策を講じる必要があります。
WordPress sites utilizing the MStore API plugin in conjunction with the WCFM Marketplace – Multivendor Marketplace for WooCommerce plugin are at risk. Specifically, sites with permissive role assignment configurations or those running older, unpatched versions of the MStore API plugin are particularly vulnerable.
• wordpress / composer / npm:
grep -r 'wcfm_vendor' /var/www/html/wp-content/plugins/
wp-cli plugin list | grep mstore-api• wordpress / composer / npm:
curl -I https://your-wordpress-site.com/wp-content/plugins/mstore-api/ | grep 'X-Powered-By'• wordpress / composer / npm:
wp plugin status mstore-apidisclosure
エクスプロイト状況
EPSS
0.49% (65% パーセンタイル)
CISA SSVC
CVSS ベクトル
まず、MStore API WordPressプラグインをバージョン4.17.3以降にアップデートすることを推奨します。アップデートが困難な場合は、WCFM Marketplace – Multivendor Marketplace for WooCommerceプラグインを一時的に無効化することで、攻撃対象領域を縮小できます。また、WordPressのユーザー管理機能を強化し、不要なロールの作成を制限することも有効です。WAF（Web Application Firewall）を導入し、不正なロール登録リクエストを検知・遮断するルールを設定することも検討してください。アップデート後、プラグインの動作確認を行い、意図しない動作がないことを確認してください。
Actualice el plugin MStore API a la versión 4.17.3 o superior para mitigar la vulnerabilidad de escalada de privilegios. Esta actualización corrige la falta de restricciones de roles al registrar nuevos usuarios, previniendo que atacantes no autenticados obtengan privilegios de vendedor de tienda.
脆弱性分析と重要アラートをメールでお届けします。
CVE-2025-3438は、MStore API WordPressプラグインのバージョン0.0.0～4.17.4において、認証されていない攻撃者が'wcfm_vendor'ロールで登録できる権限昇格の脆弱性です。
はい、MStore API WordPressプラグインのバージョンが0.0.0から4.17.4である場合、この脆弱性の影響を受けます。WCFM Marketplaceプラグインがインストールされている必要があります。
MStore API WordPressプラグインをバージョン4.17.3以降にアップデートしてください。アップデートが難しい場合は、WCFM Marketplaceプラグインを一時的に無効化してください。
現時点では、公開されているPoCは確認されていませんが、悪用される可能性は否定できません。
MStore API WordPressプラグインの公式アドバイザリは、プラグインの公式サイトまたはWordPressプラグインリポジトリで確認できます。
依存関係ファイルをアップロードすれば、このCVEや他のCVEがあなたに影響するか即座にわかります。