WordPress Taskbot プラグイン <= 6.4 - 任意のファイル削除の脆弱性

このパス・トラバーサル脆弱性は、攻撃者がTaskbotのファイルシステムを探索し、機密情報を盗み出すことを可能にします。例えば、設定ファイルからデータベースの認証情報が漏洩したり、ソースコードから脆弱性が発見されたりする可能性があります。攻撃者は、Webサーバーのルートディレクトリ外にあるファイルにアクセスし、Webインターフェースを通じて機密情報を取得する可能性があります。この脆弱性は、Webアプリケーションのセキュリティを著しく損ない、機密情報の漏洩、改ざん、または破壊につながる可能性があります。

Organizations using AmentoTech Taskbot, particularly those with older versions (0.0.0–6.4) and those hosting Taskbot on shared hosting environments, are at significant risk. Those with misconfigured file permissions or lacking WAF protection are especially vulnerable.

• wordpress / composer / npm:

grep -r '../' /var/www/html/wp-content/plugins/taskbot/*

• generic web:

curl -I 'http://your-taskbot-site.com/../../../../etc/passwd' # Check for file disclosure

1. 2025-10-22Disclosure

   disclosure

1. 予約済み2025-09-06
2. 公開日2025-10-22
3. 更新日2026-04-28
4. EPSS 更新日2026-03-23

まず、Taskbotをバージョン6.4.1にアップデートすることが最も効果的な対策です。アップデートがすぐに利用できない場合は、Webサーバーの設定でTaskbotのディレクトリへのアクセスを制限するなどの回避策を検討してください。WAF（Web Application Firewall）を導入し、パス・トラバーサル攻撃を検知・防御するルールを設定することも有効です。また、Taskbotのログを監視し、不審なアクセスがないか確認することも重要です。アップデート後、アクセス権限を確認し、不要なファイルへのアクセスを制限してください。