Event Manager, Events Calendar, Booking, Registrations and Tickets – Eventin <= 4.0.37 - 認証されていないサーバーサイドリクエストフォージェリ (Server-Side Request Forgery)

このSSRF脆弱性は、攻撃者がEventinプラグインを介して内部ネットワークリソースにアクセスすることを可能にします。攻撃者は、内部サービスをスキャンしたり、機密情報を盗み出したり、さらには内部システムを制御しようとする可能性があります。例えば、内部データベースへのアクセスを試みたり、内部APIを介して機密データを取得したりすることが考えられます。この脆弱性は、WordPressサイト全体のセキュリティに重大な影響を与える可能性があります。攻撃者は、この脆弱性を利用して、Webサイトの改ざんやデータの窃取、さらにはWebサイトを悪意のある活動に利用する可能性があります。

Websites utilizing the Eventin plugin for event management, particularly those with internal services accessible from the web server, are at risk. Shared hosting environments where multiple WordPress sites share the same server are also at increased risk, as a compromise of one site could potentially lead to the compromise of others.

• wordpress / composer / npm:

grep -r 'proxy_image' /var/www/html/wp-content/plugins/eventin/

• generic web:

curl -I <wordpress_site_url>/wp-content/plugins/eventin/proxy_image?url=http://localhost:8080  # Check for internal resource access

1. 2025-08-23Disclosure

   disclosure

1. 予約済み2025-07-18
2. 公開日2025-08-23
3. 更新日2026-04-08
4. EPSS 更新日2026-03-23

Eventin WordPressプラグインのバージョン4.0.38以降にアップデートすることが、この脆弱性に対する最も効果的な対策です。アップデートが困難な場合は、WAF (Web Application Firewall) を導入し、SSRF攻撃を検知・防御するルールを設定することを検討してください。また、WordPressのセキュリティプラグインを導入し、Eventinプラグインのアクセス制限を強化することも有効です。proxy_image関数の利用を制限するカスタムコードを実装することも、一時的な回避策として有効です。

アクティブインストール数

10K既知

プラグイン評価

4.6

WordPressが必要

6.2+

動作確認済みバージョン

6.9.4

PHPが必要

7.4+