WordPressでイベント管理・チケット販売を行うプラグイン「The Events Calendar, Event Booking, Registrations and Event Tickets – Eventin」のバージョン 4.0.37 以下のすべてのバージョンで、セキュリティ脆弱性が発見されました。
この脆弱性により、ログインしていない攻撃者でも画像プロキシ機能を悪用して、サーバーから任意の内部システムへアクセスすることが可能となっています。攻撃者はサーバーを踏み台として利用し、通常は外部からアクセスできない内部情報を取得したり、内部システムに不正な要求を送信することができます。対策バージョン 4.0.38 以降への更新を推奨します。
想定される事象
| 想定される被害 | この脆弱性により、以下のような被害が想定されます ・内部システムへの不正アクセス - サーバーの管理画面や内部APIへの不正アクセス - データベースサーバーや他の内部サービスの情報取得 - 通常は外部からアクセスできない内部システムの探索 ・機密情報の漏洩 - クラウドサービスの認証情報やAPIキーの取得 - サーバー設定情報やシステム構成の露見 - 他のウェブサイトやサービスの認証情報が保存されている場合の漏洩 ・内部ネットワークの悪用 - サーバーを踏み台とした他システムへの攻撃 - 内部ネットワークの構成や稼働サービスの調査 - セキュリティ境界を越えた不正アクセス |
|---|---|
| 技術的な詳細 | の脆弱性は、以下の問題に起因します (1) 画像プロキシ機能のURL検証不備 ・プラグインの画像取得機能（proxy_image）で、アクセス先URLの検証が不十分 ・許可されたドメイン名がURLの任意の部分に含まれていれば通過する仕組み ・本来は特定ドメインからの画像のみ取得する機能だが、検証ロジックに欠陥 (2) 内部ネットワークへのアクセス制限なし ・ローカルネットワーク（192.168.x.x、10.x.x.x等）への接続を制限していない ・localhost（127.0.0.1）やループバックアドレスへの接続が可能 ・クラウドサービスのメタデータエンドポイント（169.254.169.254等）へのアクセスが可能 (3) 認証不要での機能実行 ・WordPressにログインしていない状態でも攻撃実行可能 ・特定のURLパラメータを指定するだけで画像プロキシ機能を悪用できる ・外部の攻撃者が直接この機能を悪用可能 |
| 脆弱性の種類 | CWE-918 サーバサイドのリクエストフォージェリ |
| 推奨対応事項 | 該当バージョンのプラグインをご利用の場合、以下の対応を強く推奨します (1) プラグインの更新 ・プラグインを対策バージョン（4.0.38以降）に更新 (2) 被害確認 ・アクセスログの確認 - 画像プロキシ機能（proxy_image）への不審なアクセスの有無 - URLパラメータに内部IPアドレスを含むリクエスト - 短時間での大量の画像取得リクエスト ・内部システムログの確認 - 管理画面や内部APIへの異常なアクセス記録 - 不審な認証試行やデータアクセスの記録 - 他の内部サービスへの予期しない接続 (3) 追加のセキュリティ対策 ・ネットワーク分離の強化：内部ネットワークとの通信制限 ・ファイアウォール設定の見直し：不要な内部通信の遮断 ・定期的なプラグイン更新：すべてのプラグインを最新版に保つ ・アクセス監視の強化：内部システムへの接続監視 ⇒サーバーや内部システムに異常なアクセス記録が見られる場合は、サーバー管理者やセキュリティ専門家への相談をお勧めします。 |
| 影響を受けるバージョン | Eventin 4.0.37 以下のすべてのバージョン |
| 脆弱性情報 (CVE-ID / 公開日) | CVE-2025-7813 / RESERVED（2025/08/23時点） |
| 脆弱性の深刻度 (CVSS v3) | 基本値: 7.2 (重大) [Wordfence] |
ソフトウェア脆弱性情報の著作権に関する注意事項
This record contains material that is subject to copyright.
Copyright 2012-2024 Defiant Inc.
License: Defiant hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute this software vulnerability information. Any copy of the software vulnerability information you make for such purposes is authorized provided that you include a hyperlink to this vulnerability record and reproduce Defiant’s copyright designation and this license in any such copy. Read more.
Copyright 1999-2024 The MITRE Corporation
License: CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE’s copyright designation and this license in any such copy. Read more.
「WordPressセキュリティ保守」をご利用のお客様へ
WordPress
Eventin プラグインをご利用のお客様へは、「対策バージョンへの更新状況と推奨対応事項」メールを順次ご案内しております。
WordPress プラグイン WP Webhooks 情報
| 最新版 バージョン | 4.0.38 |
|---|---|
| 対象 WordPress バージョン | 6.2 またはそれ以降 検証済み最新バージョン :6.8.2 |
| 有効インストール数 | 10,000+ |
| プラグイン ページ | Event Manager, Events Calendar, Booking, Registrations and Tickets – Eventin <= 4.0.37 – Unauthenticated Server-Side Request Forgery |
