All In One Image Viewer Block <= 1.0.2 - image-proxy エンドポイントを介した認証されていないサーバーサイドリクエスト偽造 (Server-Side Request Forgery via image-proxy Endpoint)

このSSRF脆弱性を悪用すると、攻撃者はWebアプリケーションを介して内部ネットワーク上のリソースにアクセスし、機密情報を盗んだり、不正な操作を実行したりする可能性があります。例えば、内部データベースへのアクセス、管理インターフェースへのアクセス、または他の内部サービスへの攻撃などが考えられます。攻撃者は、画像プロキシREST APIエンドポイントを介して、任意のURLにリクエストを送信できます。この脆弱性は、WordPressサイトのセキュリティを著しく損なう可能性があります。

WordPress sites using the All In One Image Viewer Block plugin, particularly those with internal services accessible from the web server, are at risk. Shared hosting environments where users have limited control over installed plugins are also particularly vulnerable.

• wordpress / composer / npm:

wp plugin list | grep "All In One Image Viewer Block"

• generic web:

curl -I https://your-wordpress-site.com/wp-json/aio-image-viewer/v1/image-proxy?url=http://internal-service | head -n 1

• wordpress / composer / npm:

wp plugin update all-in-one-image-viewer-block

• wordpress / composer / npm:

wp plugin status all-in-one-image-viewer-block

1. 2026-02-05Disclosure

   disclosure

1. 予約済み2026-01-21
2. 公開日2026-02-05
3. 更新日2026-04-08
4. EPSS 更新日2026-03-23

まず、All In One Image Viewer Blockプラグインをバージョン1.0.3にアップデートすることが最も効果的な対策です。アップデートがすぐに利用できない場合、WAF（Web Application Firewall）を使用して、画像プロキシREST APIエンドポイントへの不正なリクエストをブロックすることを検討してください。また、WordPressの設定で、define('DISABLESSLVERIFY', true);のようなSSL検証の無効化設定が有効になっている場合は、無効にすることを推奨します。プラグインのアップデート後、正常に動作することを確認し、SSRF攻撃の兆候がないかログを監視してください。

アクティブインストール数

200

プラグイン評価

0.0

WordPressが必要

5.0+

動作確認済みバージョン

6.9.4

PHPが必要

7.1+