WordPressでElementorウィジェットとテンプレートを提供するプラグイン「UiCore Elements – Free Elementor widgets and templates」のバージョン 1.3.0 以下のすべてのバージョンで、重大なセキュリティ脆弱性が発見されました。
この脆弱性により、ログインしていない攻撃者でもサーバー上の機密ファイルを読み取ることが可能となっています。特にWordPressの設定ファイル（wp-config.php）が狙われやすく、データベース認証情報や暗号化キーなどの重要な情報が漏洩するリスクがあります。対策バージョン 1.3.1 以降への更新を強く推奨します。
想定される事象
| 想定される被害 | この脆弱性により、以下のような被害が想定されます ・機密情報の漏洩 - WordPressの設定ファイル（wp-config.php）から、データベース接続情報（ユーザー名・パスワード）が読み取られる - 暗号化キーや認証用の秘密鍵が漏洩し、管理者セッションが乗っ取られる - サーバーの設定ファイルから、システム構成情報が把握される ・サイト全体の乗っ取り - 漏洩したデータベース情報を使用して、WordPress管理者アカウントが作成される - サイトのコンテンツが改ざんされ、フィッシングサイトや不正サイトに変更される - マルウェアが埋め込まれ、サイト訪問者に被害が拡大する ・継続的な被害 - 一度機密情報が漏洩すると、サーバー全体への不正アクセスが継続される - 気づかないうちに長期間、データ窃取や不正活動の拠点として利用される - 復旧には、パスワード変更だけでなく、秘密鍵の再生成など広範囲な対応が必要 |
|---|---|
| 技術的な詳細 | この脆弱性は、以下の複合的な問題に起因します (1) REST APIエンドポイントの認証不備 ・ /prepare_template エンドポイントでの権限チェック機能が無効化されている・修正前は 'permission_callback' => '__return_true' により、誰でもアクセス可能・WordPressにログインしていない状態でも、テンプレートインポート機能を実行可能 (2) ファイル処理における検証不備 ・Elementorプラグインの画像インポート機能（Import_Images::import()）と連携 ・ファイルパスの指定に制限がなく、サーバー上の任意ファイルを指定可能 ・正規のアップロードファイル以外でも、ファイル内容の読み取りが実行される (3) 組み合わせによる任意ファイル読み取り ・攻撃者がパラメータに /path/to/wp-config.php などを指定・システムがそのファイルを読み取り、レスポンスとして返すか、アップロードフォルダに複製 ・結果として、サーバー上の機密ファイルの内容が攻撃者に漏洩 |
| 脆弱性の種類 | CWE-862 認証の欠如 |
| 推奨対応事項 | 該当バージョンのプラグインをご利用の場合、以下の対応を強く推奨します (1) プラグインの更新 ・プラグインを対策バージョン（1.3.1以降）に更新 (2) 被害確認 ・アクセスログの確認 - /wp-json/uielem/v1/prepare_template への不審なPOSTリクエスト- 短時間での大量のAPIアクセス - 不審なIPアドレスからのテンプレート関連アクセス ・ファイルシステムの確認 - アップロードフォルダ内に身に覚えのない .jpg ファイルがないか - 設定ファイルと同じ内容のファイルが複製されていないか - ログファイルの内容に異常なファイルアクセス記録がないか ・WordPressの状態確認 - 管理者アカウントに身に覚えのないユーザーが追加されていないか - プラグインやテーマに不審な変更がないか - データベース接続エラーが頻発していないか (3) 追加のセキュリティ対策 ・認証情報の変更：データベースパスワードとWordPressの暗号化キーを変更 ・アクセス制限の強化：REST APIへのアクセス制限設定 ・セキュリティプラグインの導入：WordPressセキュリティプラグインの利用 ・定期的な監視：不審なファイルアクセスや管理者権限の変更を監視 ⇒不審なアクセスが確認された場合や、システムに異常な動作が見られる場合は、レンタルサーバー会社のサポートやWordPressの専門家への相談をお勧めします。 |
| 影響を受けるバージョン | UiCore Elements 1.1.30 以下のすべてのバージョン |
| 脆弱性情報 (CVE-ID / 公開日) | CVE-2025-6253 / RESERVED(2025/08/12時点) |
| 脆弱性の深刻度 (CVSS v3) | 基本値: 7.5 (重大) [Wordfence] |
ソフトウェア脆弱性情報の著作権に関する注意事項
This record contains material that is subject to copyright.
Copyright 2012-2024 Defiant Inc.
License: Defiant hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute this software vulnerability information. Any copy of the software vulnerability information you make for such purposes is authorized provided that you include a hyperlink to this vulnerability record and reproduce Defiant’s copyright designation and this license in any such copy. Read more.
Copyright 1999-2024 The MITRE Corporation
License: CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE’s copyright designation and this license in any such copy. Read more.
「WordPressセキュリティ保守」をご利用のお客様へ
WordPress
UiCore Elements プラグインをご利用のお客様へは、「対策バージョンへの更新状況と推奨対応事項」メールを順次ご案内しております。
WordPress プラグイン UiCore Elements 情報
| 最新版 バージョン | １.3.4 |
|---|---|
| 対象 WordPress バージョン | 4.6 またはそれ以降 検証済み最新バージョン :6.8.2 |
| 有効インストール数 | 40,000+ |
| プラグイン ページ | UiCore Elements – Free Elementor widgets and templates – WordPress プラグイン | WordPress.org 日本語 |
