WordPress Seofy Core プラグイン <= 1.6.8 - ローカルファイルインクルージョン脆弱性

この脆弱性を悪用されると、攻撃者はSeofy Coreのインストールディレクトリ外にある任意のファイルを読み取ることができます。これにより、設定ファイル、ソースコード、データベース接続情報などの機密情報が漏洩する可能性があります。さらに、ローカルファイルインクルージョンを悪用して、悪意のあるコードを実行し、システムを完全に制御する可能性も否定できません。攻撃者は、WebGeniusLab Seofy Coreを介して、他のシステムへの攻撃の足がかりとして利用する可能性も考えられます。

WordPress websites utilizing the Seofy Core plugin, particularly those running versions 0.0.0 through 1.6.8, are at risk. Shared hosting environments where users have limited control over plugin configurations are also particularly vulnerable, as are sites with legacy configurations that haven't been regularly updated.

• wordpress / composer / npm:

grep -r "../" /var/www/html/wp-content/plugins/seofy-core/*

• generic web:

curl -I http://example.com/wp-content/plugins/seofy-core/../../../../etc/passwd

1. 2025-06-09Disclosure

   disclosure

1. 予約済み2025-04-16
2. 公開日2025-06-09
3. 更新日2026-04-28
4. EPSS 更新日2026-03-23

Seofy Coreのバージョンを1.6.11以降にアップデートすることが最も効果的な対策です。アップデートが困難な場合は、Webサーバーの設定でSeofy Coreのディレクトリへのアクセスを制限する、またはファイルインクルージョンを防止するWAF（Web Application Firewall）を導入することを検討してください。また、Seofy Coreのディレクトリに機密情報を保存しないように構成を見直すことも重要です。アップデート後、Seofy Coreのファイルアクセス権限を確認し、不要なアクセスを制限してください。