WordPress Anona テーマ <= 8.0 - 任意のファイルダウンロードの脆弱性

このパス・トラバーサル脆弱性は、攻撃者がファイルシステムの構造を悪用し、本来アクセス権限のないファイルにアクセスすることを可能にします。例えば、設定ファイル、ログファイル、あるいは他のアプリケーションのデータファイルなどが攻撃対象となる可能性があります。攻撃者は、これらのファイルから機密情報を窃取し、システムへのさらなる侵入を試みる可能性があります。この脆弱性は、Webサーバーのセキュリティを著しく損ない、機密情報の漏洩、改ざん、さらにはシステム全体の制御権の奪取につながる可能性があります。

WordPress sites using the Anona plugin, particularly those with default configurations or shared hosting environments, are at increased risk. Sites that haven't implemented robust file access controls or regularly scan for vulnerabilities are also more vulnerable.

• wordpress / composer / npm:

grep -r "../" /var/www/html/wp-content/plugins/anona/*

• generic web:

curl -I http://your-wordpress-site.com/wp-content/plugins/anona/../../../../etc/passwd

• wordpress / composer / npm:

wp plugin list --status=inactive --all | grep anona

1. 2026-01-22Disclosure

   disclosure

1. 予約済み2025-12-24
2. 公開日2026-01-22
3. 更新日2026-04-28
4. EPSS 更新日2026-03-23

この脆弱性への対応策として、まずAnonaプラグインを最新バージョンにアップデートすることが最も効果的です。アップデートが困難な場合は、Webサーバーの設定でファイルアクセスを制限する、またはWAF（Web Application Firewall）を導入して不正なアクセスを遮断することを検討してください。また、ファイルシステムのアクセス権限を適切に設定し、不要なファイルへのアクセスを制限することも重要です。プラグインのディレクトリリスト表示を無効化することも有効な対策となります。