WordPress Crete Core プラグイン <= 1.4.3 - SQL インジェクション脆弱性

このSQLインジェクション脆弱性は、攻撃者がデータベースの内容を閲覧、変更、削除することを可能にします。攻撃者は、データベースに保存されているユーザー認証情報、機密データ、設定情報などを窃取する可能性があります。また、データベースを改ざんすることで、Webサイトの機能を破壊したり、不正なコンテンツを表示したりすることも可能です。この脆弱性は、WordPressサイトのセキュリティを著しく損なう可能性があります。類似のSQLインジェクション攻撃は、Webアプリケーションのセキュリティにおける重大な脅威として認識されています。

Websites utilizing the Crete Core plugin, particularly those running older versions (0.0.0 – 1.4.3), are at significant risk. Shared hosting environments where multiple websites share the same database are especially vulnerable, as a compromise of one site could potentially expose data from others.

• wordpress / composer / npm:

grep -r "SELECT .* FROM" /var/www/html/wp-content/plugins/crete-core/

• generic web:

curl -I https://example.com/wp-content/plugins/crete-core/some-vulnerable-endpoint?id=1' UNION SELECT 1 -- -n

• wordpress / composer / npm:

wp plugin list --status=inactive | grep crete-core

1. 2026-02-20Disclosure

   disclosure

1. 予約済み2025-12-31
2. 公開日2026-02-20
3. 更新日2026-04-28
4. EPSS 更新日2026-03-23

Crete Coreのバージョンを1.4.3より新しいバージョンにアップデートすることが、この脆弱性に対する最も効果的な対策です。アップデートが困難な場合は、Webアプリケーションファイアウォール（WAF）を導入し、SQLインジェクション攻撃を検知・防御するルールを設定することを検討してください。また、入力値の検証を厳格化し、SQLクエリへの不正な文字列の挿入を防止する対策も有効です。データベースのアクセス権限を最小限に抑え、不要なユーザーへのアクセスを制限することも重要です。アップデート後、データベースの整合性を確認し、不正な変更がないか確認してください。