プラットフォーム
wordpress
コンポーネント
restaurant-reservations
修正版
2.7.9
CVE-2025-68601は、Rustauriusが開発するFive Star Restaurant ReservationsプラグインにおけるCSRF（クロスサイトリクエストフォージェリ）脆弱性です。この脆弱性は、認証済みユーザーの権限を悪用し、意図しない操作を実行される可能性があります。影響を受けるバージョンは0.0.0から2.7.8までで、バージョン2.7.9で修正されています。プラグインのアップデートを推奨します。
このCSRF脆弱性を悪用されると、攻撃者は認証済みユーザーになりすまし、レストラン予約の作成、変更、削除など、ユーザーが実行できるあらゆる操作を不正に実行できます。例えば、攻撃者はユーザーが知らないうちに予約を作成したり、既存の予約をキャンセルしたりすることが可能です。この脆弱性は、特に管理者権限を持つユーザーが影響を受けやすく、システム全体への影響が広がる可能性があります。攻撃者は、悪意のあるウェブサイトやメールを通じて、この脆弱性を悪用する可能性があります。
この脆弱性は、2025年12月24日に公開されました。現時点では、公的なPoC（Proof of Concept）は確認されていませんが、CSRF脆弱性は比較的悪用が容易であるため、今後悪用される可能性はあります。CISA KEVカタログへの登録状況は不明です。
Websites utilizing the Five Star Restaurant Reservations plugin, particularly those with user accounts and reservation functionality, are at risk. Shared hosting environments where multiple WordPress installations share the same server resources are also at increased risk, as a compromise of one site could potentially impact others.
• wordpress / composer / npm:
grep -r 'restaurant-reservations/includes/class-reservation.php' . |
grep -i 'add_reservation' # Look for vulnerable code patterns• generic web:
curl -I https://your-wordpress-site.com/wp-admin/admin-ajax.php?action=restaurant_reservations_add_reservation&reservation_date=2024-12-31&reservation_time=19%3A00&number_of_guests=2 # Check for lack of CSRF token in requestdisclosure
エクスプロイト状況
EPSS
0.02% (6% パーセンタイル)
CISA SSVC
CVSS ベクトル
この脆弱性への対応策として、まずFive Star Restaurant Reservationsプラグインをバージョン2.7.9にアップデートすることを強く推奨します。アップデートが困難な場合は、WAF（Web Application Firewall）を導入し、CSRFトークン検証を強化することで、攻撃を軽減できます。また、WordPressのセキュリティプラグインを活用し、CSRF攻撃の検出と防御を強化することも有効です。プラグインのアップデート後、予約機能が正常に動作することを確認してください。
バージョン 2.7.9、またはそれ以降の修正バージョンにアップデートしてください
脆弱性分析と重要アラートをメールでお届けします。
CVE-2025-68601は、Five Star Restaurant Reservationsプラグインにおけるクロスサイトリクエストフォージェリ（CSRF）脆弱性です。攻撃者は、認証済みユーザーになりすまし、不正な操作を実行できます。
はい、Five Star Restaurant Reservationsのバージョン0.0.0から2.7.8を使用している場合は影響を受けます。攻撃者は、予約の作成、変更、削除などの操作を不正に実行できる可能性があります。
Five Star Restaurant Reservationsプラグインをバージョン2.7.9にアップデートしてください。アップデートが困難な場合は、WAFの導入やWordPressセキュリティプラグインの活用を検討してください。
現時点では公的なPoCは確認されていませんが、CSRF脆弱性は比較的悪用が容易であるため、今後悪用される可能性があります。
Rustauriusの公式ウェブサイトまたはWordPressプラグインリポジトリでアドバイザリを確認してください。
依存関係ファイルをアップロードすれば、このCVEや他のCVEがあなたに影響するか即座にわかります。