WordPress WP-CalDav2ICS プラグイン <= 1.3.4 - クロスサイトリクエストフォージェリ (CSRF) 脆弱性

このCSRF脆弱性は、攻撃者が認証されたユーザーになりすまして、WP-CalDav2ICSプラグインの機能を悪用することを可能にします。具体的には、攻撃者は悪意のあるリクエストをユーザーに送信し、ユーザーがそのリクエストを承認したと見なされる可能性があります。これにより、攻撃者はデータベースに悪意のあるデータを挿入したり、既存のデータを改ざんしたり、機密情報を盗み出したりする可能性があります。Stored XSS攻撃は、ユーザーがWebサイトを閲覧するたびに悪意のあるスクリプトが実行されるため、特に危険です。この脆弱性は、Webサイトの完全な侵害につながる可能性があります。

Websites using the WP-CalDav2ICS plugin, particularly those running older, unpatched versions (0.0.0–1.3.4), are at risk. Shared hosting environments where multiple websites share the same server resources are also at increased risk, as a compromise of one site could potentially lead to the compromise of others.

• wordpress / composer / npm:

grep -r "wp-caldav2ics" /var/www/html/
wp plugin list | grep WP-CalDav2ICS

• generic web:

curl -I https://example.com/wp-content/plugins/wp-caldav2ics/ | grep -i 'wp-caldav2ics'

1. 2025-12-30Disclosure

   disclosure

1. 予約済み2025-09-09
2. 公開日2025-12-30
3. 更新日2026-04-28
4. EPSS 更新日2026-03-23

この脆弱性への最も効果的な対策は、WP-CalDav2ICSプラグインを最新バージョンにアップデートすることです。アップデートが利用できない場合、WordPressのセキュリティプラグインを使用してCSRFトークンを実装することを検討してください。また、WAF（Web Application Firewall）を導入し、悪意のあるリクエストをブロックすることも有効です。プラグインのアップデート後、WordPress管理画面からプラグインの動作を確認し、不正な設定がないか確認してください。