プラットフォーム
wordpress
コンポーネント
smart-slider-3
修正版
3.5.2
CVE-2026-3098 は、WordPress 用 Smart Slider 3 プラグインに存在する脆弱性です。この脆弱性により、認証された攻撃者は、サーバー上の任意のファイルを読み取ることができます。影響を受けるバージョンは、3.5.1.33 以前です。この問題は、バージョン 3.5.1.34 で修正されました。
Smart Slider 3 の CVE-2026-3098 は、このプラグインを使用している WordPress ウェブサイトにとって重大なリスクをもたらします。認証された攻撃者、購読者レベル以上のアクセス権を持つ者でも、サーバー上の任意のファイルを読み取ることができます。これは、パスワード、API キー、データベースデータ、さらにはウェブサイトのソースコードなどの機密情報にアクセスできることを意味します。CVSS スコアが 6.5 と評価されているのは、中程度の深刻度ですが、攻撃が容易であり、侵害される可能性のある情報の機密性が高いため、潜在的な損害は大きくなります。この情報の漏洩は、サイトの制御喪失、データ盗難、または評判の低下につながる可能性があります。
この脆弱性は、Smart Slider 3 プラグインの 'actionExportAll' 関数内に存在します。認証された攻撃者は、この関数の入力を操作して、読み取りたいサーバー上の任意のファイルのパスを指定できます。WordPress では購読者以上の権限を持つユーザーが認証できるため、この脆弱性を悪用するための障壁は比較的低くなっています。悪用は通常、脆弱なウェブサイトに特別に作成された HTTP リクエストを送信し、目的のファイルパスを含めます。適切な検証がない場合、サーバーはファイルのコンテンツを攻撃者に返します。この悪用の検出は困難な場合があります。なぜなら、正当なトラフィックに偽装できるからです。
エクスプロイト状況
EPSS
0.03% (8% パーセンタイル)
CISA SSVC
CVE-2026-3098 を軽減するための最も効果的な方法は、Smart Slider 3 をバージョン 3.5.1.34 以降にアップデートすることです。このバージョンには、任意のファイル読み取りの脆弱性に対する修正が含まれています。直ちにアップデートできない場合は、サーバー上の機密ファイルへのアクセスを制限し、ウェブサイトのログを監視して不審なアクティビティがないか確認することをお勧めします。また、すべてのユーザーが強力なパスワードを使用し、可能な限り二要素認証を有効にすることも重要です。定期的なセキュリティ監査も、潜在的な脆弱性を特定し対処するのに役立ちます。
バージョン3.5.1.34、またはそれ以降のパッチが適用されたバージョンにアップデートしてください。
脆弱性分析と重要アラートをメールでお届けします。
これは WordPress の Smart Slider 3 プラグインにおける任意のファイル読み取りの脆弱性です。
これは、攻撃者がユーザーアカウント（購読者アカウントであっても）で WordPress ウェブサイトにログインしている必要があることを意味します。
機密ファイルへのアクセスを制限し、ウェブサイトのログを監視してください。
Smart Slider 3 のバージョンが 3.5.1.34 より前の場合は、脆弱です。
この脆弱性を検出できる WordPress 脆弱性スキャナがありますが、アップデートが最良の解決策です。
CVSS ベクトル
依存関係ファイルをアップロードすれば、このCVEや他のCVEがあなたに影響するか即座にわかります。