Game Users Share Buttons <= 1.3.0 - 認証済み (購読者+) テーマNameIdパラメータを介した任意のファイル削除

この脆弱性を悪用されると、攻撃者はWordPressサイトのファイルシステムに不正にアクセスし、機密情報を盗み出したり、ウェブサイトの機能を破壊したりする可能性があります。特に、wp-config.phpなどの重要な設定ファイルを削除されると、サイト全体が利用できなくなるリスクがあります。攻撃者は、この脆弱性を利用して、ウェブサーバー上で任意のコードを実行し、システムを完全に制御する可能性も否定できません。類似の脆弱性は、過去にWordPressプラグインで確認されており、厳重な注意が必要です。

Websites using the Game Users Share Buttons plugin, particularly those running vulnerable versions (1.0.0–1.3.0), are at risk. Shared hosting environments where multiple WordPress sites share the same server are particularly vulnerable, as a compromise of one site could potentially lead to the compromise of others. Sites with weak file permissions or inadequate WAF protection are also at increased risk.

• wordpress / composer / npm:

grep -r "ajaxDeleteTheme" /var/www/html/wp-content/plugins/game-users-share-buttons/

• wordpress / composer / npm:

wp plugin list --status=inactive | grep 'game-users-share-buttons'

• wordpress / composer / npm:

curl -I http://your-wordpress-site.com/wp-admin/admin-ajax.php?action=ajaxDeleteTheme&themeNameId=../../../../wp-config.php | grep -i '403 forbidden'

1. 2025-06-28Disclosure

   disclosure

1. 予約済み2025-06-26
2. 公開日2025-06-28
3. 更新日2026-04-08
4. EPSS 更新日2026-03-23

まず、Game Users Share Buttonsプラグインを最新バージョンにアップデートすることが最も効果的な対策です。アップデートが困難な場合は、プラグインの無効化を検討してください。WAF（Web Application Firewall）を導入し、不正なファイルアクセスを検知・遮断するルールを設定することも有効です。また、WordPressのファイルパーミッションを適切に設定し、ウェブサーバーがアクセスできないディレクトリへのアクセスを制限することも重要です。アップデート後、プラグインの動作を確認し、ファイルシステムへの不正アクセスがないことを確認してください。