WooCommerce <= 1.3.6 のライブ訪問者カウンター - wcvisitor_get_block における認証されていない任意のファイル削除

この脆弱性は、攻撃者がサーバー上の任意のファイルを削除できるため、非常に深刻な影響をもたらす可能性があります。攻撃者は、重要な設定ファイルやアプリケーションファイルを削除することで、システムを完全に停止させることができます。また、機密情報を含むファイルを削除することで、情報漏洩のリスクも高まります。この脆弱性は、WordPressサイト全体のセキュリティを脅かすものであり、迅速な対応が必要です。攻撃者は、ターゲットディレクトリ内のすべてのファイルを削除するため、単一のファイルではなく、広範囲なデータ損失を引き起こす可能性があります。

Websites using the Counter live visitors for WooCommerce plugin, particularly those running older, unpatched versions (1.0.0–1.3.6), are at risk. Shared hosting environments are particularly vulnerable, as attackers could potentially exploit this vulnerability to impact multiple websites hosted on the same server.

• wordpress / composer / npm:

grep -r "wcvisitor_get_block" /var/www/html/wp-content/plugins/counter-live-visitors-for-woocommerce/

• generic web:

curl -I 'https://your-wordpress-site.com/wp-content/plugins/counter-live-visitors-for-woocommerce/wcvisitor_get_block?file=../../../../etc/passwd' # Attempt to access sensitive files

1. 2025-07-16Disclosure

   disclosure

1. 予約済み2025-07-08
2. 公開日2025-07-16
3. 更新日2026-04-08
4. EPSS 更新日2026-03-23

この脆弱性への対応として、まずCounter live visitors for WooCommerceプラグインを最新バージョンにアップデートすることを強く推奨します。アップデートが利用できない場合、一時的な回避策として、wcvisitorgetblock関数が呼び出される可能性のあるディレクトリへのアクセスを制限するWAFルールを実装することを検討してください。また、WordPressのファイルパーミッションを適切に設定し、不要なファイルの書き込み権限を削除することも有効です。アップデート後、プラグインの動作を確認し、ファイルが意図せず削除されていないことを確認してください。

アクティブインストール数

6Kニッチ

プラグイン評価

5.0

WordPressが必要

4.3+

動作確認済みバージョン

6.9.4

PHPが必要

5.0+