CVE-2025-62089: CSRF in Mergado Pack WordPress Plugin

このCSRF脆弱性は、攻撃者が認証されたユーザーとして行動し、プラグインの設定を変更したり、データを操作したりする可能性があります。例えば、攻撃者は悪意のあるURLをユーザーに送り込み、ユーザーがそのURLをクリックした際に、バックエンドで不正なリクエストを送信させることができます。これにより、ウェブサイトのデータが改ざんされたり、機密情報が漏洩したりするリスクがあります。攻撃者は、Mergado Packプラグインを通じて管理者が設定したマーケティングキャンペーンを不正に変更し、ウェブサイトの表示内容を操作する可能性も考えられます。

WordPress sites utilizing the Mergado Pack plugin, particularly those running versions 0.0.0 through 4.2.1, are at risk. Sites with limited security controls or those that allow user-generated content are especially vulnerable, as attackers can more easily craft malicious CSRF requests.

• wordpress / composer / npm:

grep -r 'mergado-marketing-pack' /var/www/html/wp-content/plugins/
wp plugin list | grep mergado-marketing-pack

• generic web:

curl -I https://your-wordpress-site.com/wp-content/plugins/mergado-marketing-pack/ | grep -i 'mergado-marketing-pack'

1. 2025-12-31Disclosure

   disclosure

1. 予約済み2025-10-07
2. 公開日2025-12-31
3. 更新日2026-04-28
4. EPSS 更新日2026-03-23

この脆弱性への主な対策は、Mergado Packプラグインを最新バージョンにアップデートすることです。アップデートが利用できない場合は、WordPressのセキュリティプラグインを使用してCSRFトークンを実装するなどの回避策を検討してください。また、ウェブアプリケーションファイアウォール（WAF）を導入し、CSRF攻撃を検知・防御することも有効です。WAFの設定では、異常なリクエストパターンを監視し、不正なリクエストをブロックするように設定してください。アップデート後、プラグインの設定が正常に機能していることを確認し、セキュリティ監査を実施することをお勧めします。