Amazon Products to WooCommerce <= 1.2.7 - 認証されていないサーバーサイドリクエストフォージェリ (Server-Side Request Forgery)

このSSRF脆弱性を悪用されると、攻撃者は内部ネットワーク上の機密情報にアクセスしたり、内部サービスを不正に操作したりする可能性があります。例えば、内部APIを呼び出して認証情報を取得したり、データベースにアクセスしたりすることが考えられます。攻撃者は、この脆弱性を利用して、ウェブアプリケーションのバックエンドシステムへのアクセスを試み、さらなる攻撃の足がかりにすることも可能です。この脆弱性は、WordPress環境全体に影響を及ぼす可能性があり、データの漏洩やシステムへの不正アクセスにつながる重大なリスクをもたらします。

WordPress websites utilizing the Amazon Products to WooCommerce plugin, particularly those with internal services accessible via HTTP or HTTPS, are at risk. Shared hosting environments are especially vulnerable as they often have limited control over plugin updates and configurations. Legacy WordPress installations running older versions of PHP or with outdated security practices are also at increased risk.

• wordpress / composer / npm:

grep -r 'wcta2w_get_urls()' /var/www/html/wp-content/plugins/amazon-products-to-woocommerce/*

• generic web:

curl -I https://your-wordpress-site.com/wp-content/plugins/amazon-products-to-woocommerce/ | grep Server

• wordpress / composer / npm:

wp plugin list | grep 'amazon-products-to-woocommerce'

• wordpress / composer / npm:

wp plugin status | grep 'amazon-products-to-woocommerce'

1. 2025-07-02Disclosure

   disclosure

1. 予約済み2025-06-06
2. 公開日2025-07-02
3. 更新日2026-04-08
4. EPSS 更新日2026-03-23

まず、Amazon Products to WooCommerceプラグインをバージョン1.2.8にアップデートすることを強く推奨します。アップデートが困難な場合は、WAF（Web Application Firewall）を導入し、SSRF攻撃を検知・防御するルールを設定してください。また、WordPressの設定で、プラグインがアクセスできる外部URLを制限するなどの対策も有効です。プラグインのアップデート後、内部ネットワークへのアクセスを試みるリクエストがないか、アクセスログを監視し、異常なアクセスがないか確認してください。