脆弱性の概要

• プラグイン/テーマ名: WP Travel Engine – Tour Booking Plugin – Tour Operator Software
• 影響バージョン: 6.6.7 以下
• 脆弱性タイプ: Authenticated (Subscriber+) Arbitrary File Deletion via File Renaming
• CVE ID: CVE-2025-7526
• 重大度: クリティカル
• 公式ページURL: https://wordpress.org/plugins/wp-travel-engine/

脆弱性の解説

今回お伝えするのは、WordPressプラグイン「WP Travel Engine – Tour Booking Plugin – Tour Operator Software」における深刻な脆弱性についてです。

この脆弱性は、認証されたユーザー、具体的にはサブスクライバー以上の権限を持つユーザーが、任意のファイルを削除できるというものです。

攻撃者はこの脆弱性を利用して、ファイル名を変更することで、重要なファイルを削除し、サイトの機能を停止させたり、データを破壊したりする可能性があります。

影響範囲は非常に広く、サイトの完全な制御を失うリスクがあるため、早急な対応が求められます。

脆弱性の背景

この脆弱性は、ファイル操作に関する適切な権限チェックが行われていないことに起因しています。

WordPressプラグインは多くの機能を提供するため、複雑なコードが含まれることが多く、権限管理の不備が発生しやすい状況にあります。

過去にも同様の脆弱性が他のプラグインで発見されており、開発者は常に最新のセキュリティガイドラインに従うことが重要です。

対策方法と影響

この脆弱性に対する最も効果的な対策は、プラグインをバージョン6.6.8に更新することです。

更新することで、権限チェックの不備が修正され、任意のファイル削除が防止されます。

もし更新を怠ると、攻撃者によってサイトが破壊されるリスクが高まります。

そのため、早急にプラグインを最新バージョンに更新することを強く推奨します。

専門用語の解説

• CVSS: 共通脆弱性評価システムの略で、脆弱性の深刻度を評価するための標準化されたスコアリングシステムです。
• CVE: 共通脆弱性識別子の略で、特定の脆弱性に対して一意に割り当てられる識別番号です。
• サブスクライバー: WordPressにおけるユーザー権限の一つで、通常はコンテンツの閲覧やコメントが可能です。
• 任意のファイル削除: 攻撃者が指定したファイルを削除できる脆弱性のことです。

情報元