Groundhogg — CRM, ニュースレター、およびマーケティングオートメーション <= 4.4 - 認証済み (営業担当者以上) による任意のファイル削除

この脆弱性は、認証された攻撃者（Customレベル以上のアクセス権を持つ）が、ファイルパスの検証を迂回し、サーバー上の任意のファイルを削除できることを意味します。最も深刻な影響は、wp-config.phpファイルを削除することです。wp-config.phpファイルはWordPressの設定ファイルであり、データベース接続情報やその他の重要な設定が含まれています。このファイルを削除すると、WordPressサイト全体が機能しなくなり、攻撃者はサイトを完全に制御できるようになる可能性があります。攻撃者は、削除したファイルの内容を置き換えたり、悪意のあるコードを実行したりすることも可能です。この脆弱性は、WordPressサイトのセキュリティを著しく損なう可能性があります。

WordPress websites utilizing the Groundhogg plugin, particularly those with users granted Custom-level access or higher, are at risk. Shared hosting environments where multiple WordPress installations share the same server resources are also at increased risk, as a compromise of one site could potentially lead to the compromise of others.

• wordpress / composer / npm:

grep -r 'wp_delete_file' /var/www/html/wp-content/plugins/groundhogg/

• wordpress / composer / npm:

wp plugin list --status=active | grep groundhogg

• wordpress / composer / npm:

wp plugin update groundhogg --all

• generic web: Check WordPress access logs for requests containing suspicious file paths or deletion attempts targeting the Groundhogg plugin directory.

1. 2026-04-16Disclosure

   disclosure

1. 公開日2026-04-16
2. 更新日2026-04-21

まず、Groundhogg CRMをバージョン4.4.1にアップデートすることが最も効果的な対策です。アップデートが利用できない場合、またはアップデートによってサイトが不安定になる場合は、一時的な回避策として、ファイルパスの検証を強化するカスタムプラグインを導入することを検討してください。また、WAF（Web Application Firewall）を導入し、不審なファイルアクセス試行をブロックすることも有効です。ファイルアクセスログを監視し、異常なパターンを検出することも重要です。アップデート後、wp-config.phpファイルが存在し、正しい設定になっていることを確認してください。

アクティブインストール数

2K人気

プラグイン評価

4.9

WordPressが必要

5.9+

動作確認済みバージョン

6.9.4

PHPが必要

7.1+