脆弱性の概要

• プラグイン/テーマ名: Cost Calculator Builder
• 影響バージョン: 3.6.3 以下
• 脆弱性タイプ: Unauthenticated Arbitrary File Deletion
• CVE ID: CVE-2025-12529
• 重大度: 高
• 公式ページURL: https://wordpress.org/plugins/cost-calculator-builder/

脆弱性の解説

今回お伝えするのは、WordPressプラグイン「Cost Calculator Builder」における深刻な脆弱性についてです。

この脆弱性は、認証されていないユーザーが任意のファイルを削除できるというものです。

具体的には、攻撃者が特定のリクエストを送信することで、サーバー上の重要なファイルを削除することが可能となります。

このような攻撃が成功すると、ウェブサイトの機能が停止したり、データが失われたりするリスクがあります。

影響を受けるバージョンは3.6.3以下であり、ユーザーは早急に対策を講じる必要があります。

脆弱性の背景

この脆弱性は、ファイル操作に関する適切な認証チェックが欠如していることに起因しています。

過去にも同様の脆弱性が他のプラグインで発見されており、ウェブサイトのセキュリティにおいて重要な課題となっています。

特に、WordPressのような広く利用されているプラットフォームでは、こうした脆弱性が悪用されると多くのサイトに影響を及ぼす可能性があります。

対策方法と影響

この脆弱性に対する最も効果的な対策は、プラグインを最新のバージョン3.6.4にアップデートすることです。

アップデートを行うことで、脆弱性が修正され、攻撃のリスクを大幅に低減できます。

もしアップデートを怠ると、攻撃者によって重要なファイルが削除され、サイトの運営に深刻な影響を及ぼす可能性があります。

専門用語の解説

• CVSS: 共通脆弱性評価システムの略で、脆弱性の深刻度を評価するための基準です。
• CVE: 共通脆弱性識別子の略で、特定の脆弱性に対して割り当てられる識別番号です。
• Unauthenticated Arbitrary File Deletion: 認証されていない状態で任意のファイルを削除できる脆弱性のことです。

情報元