The Events Calendar <= 6.15.17 - 認証済み (Author+以上) の ajax_create_import を介した任意のファイル読み出し

この脆弱性は、認証された攻撃者（Author権限以上）がajaxcreateimport関数を通じてファイルパストラバーサル攻撃を実行することを可能にします。攻撃者は、この脆弱性を利用して、Webサーバーのファイルシステム上の機密ファイル（設定ファイル、データベースダンプ、ソースコードなど）にアクセスし、その内容を読み取ることができます。これにより、パスワード、APIキー、データベース接続情報などの機密情報が漏洩する可能性があります。攻撃者は、さらにこの情報を利用して、システムへの不正アクセスや、データの改ざん、破壊などの攻撃を行う可能性があります。この脆弱性は、WordPressサイトのセキュリティを著しく損なう可能性があります。

WordPress websites utilizing The Events Calendar plugin, particularly those with Author-level users or higher, are at risk. Shared hosting environments where users have limited control over server file permissions are especially vulnerable. Sites with outdated plugin versions and inadequate security practices are also at increased risk.

• wordpress / composer / npm: Use wp-cli plugin update to check the installed version of The Events Calendar.

wp plugin list --status=active | grep 'The Events Calendar'

• generic web: Monitor web server access logs for requests to wp-content/plugins/the-events-calendar/ajaxcreateimport with unusual or potentially malicious file paths in the parameters.

grep 'ajax_create_import' /var/log/apache2/access.log

• wordpress / composer / npm: Examine the the-events-calendar plugin files for any unauthorized modifications or backdoors.

find /var/www/html/wp-content/plugins/the-events-calendar -type f -mtime -7

1. 2026-03-10Disclosure

   disclosure

1. 予約済み2026-03-05
2. 公開日2026-03-10
3. 更新日2026-04-08
4. EPSS 更新日2026-03-23

この脆弱性への対応策として、まずThe Events Calendarプラグインをバージョン6.15.17.1以上にアップデートすることを推奨します。アップデートが困難な場合は、一時的な回避策として、WordPressの.htaccessファイルにファイルアクセスを制限するルールを追加することで、攻撃者がアクセスできるファイルの範囲を狭めることができます。また、WAF（Web Application Firewall）を導入し、ファイルパストラバーサル攻撃を検知・防御することも有効です。プラグインのアップデート後、ajaxcreateimport関数が正しく動作し、任意のファイルへのアクセスが制限されていることを確認してください。