WordPressプラグイン「WP User Frontend Pro」にファイル操作の脆弱性

ユーザー投稿機能を提供するWordPressプラグイン「WP User Frontend Pro」のバージョン4.1.3までのすべてのバージョンで、重大なセキュリティ脆弱性が発見されました。

この脆弱性により、サイトのユーザーアカウントを持つ悪意のある第三者が、サーバー上の重要なファイルを削除したり、危険なファイルをアップロードしてサイトを完全に乗っ取ることが可能となっています。この極めて重大な脆弱性のため、直ちに対策バージョンへの更新を強く推奨します。

想定される事象

想定される被害	この脆弱性は、以下の問題に起因します (1) ファイル削除による被害・WordPressの設定ファイル（wp-config.php）の削除によるサイト機能停止・重要なプラグインファイルの削除によるセキュリティ機能の無効化・バックアップファイルの削除による復旧不能状態 (2) 不正ファイルアップロードによる被害・悪意のあるプログラム（Webシェル）の設置によるサーバー完全制御・顧客情報やデータベース情報の窃取・サイトの改ざんやマルウェア配布拠点化・他のサイトへの攻撃の踏み台として悪用
技術的な詳細	この脆弱性は、以下の問題に起因しますファイル削除の脆弱性（delete_avatar_ajax関数） (1) ファイルパスの検証が不十分で「../」を使った上位ディレクトリへのアクセスが可能 (2) 削除対象ファイルの種類や重要度の確認が実装されていない (3) wp-config.phpなどの重要ファイルでも削除が実行されるファイルアップロードの脆弱性（upload_files関数） (1) アップロードファイルの拡張子チェックが実装されていない (2) ファイル名のサニタイゼーション（無害化処理）が不十分 (3) 「../」を使った任意のディレクトリへのファイル保存が可能 (4) PHPなどの実行可能ファイルのアップロードを防げない
脆弱性の種類	CWE-22 パス・トラバーサル CWE-434 危険なタイプのファイルの無制限アップロード
推奨対応事項	該当バージョンのプラグインをご利用の場合、以下の対応を強く推奨します (1) 緊急の対策・プラグインを対策バージョンに直ちに更新・更新版が未公開の場合は、一時的にプラグインを無効化・特に「Private Message」モジュールを使用している場合は最優先で対応 (2) 被害確認・サーバーファイルの確認　- wp-config.phpファイルの存在確認　- 不審な.phpファイルの有無（特にアップロードディレクトリ内）　- プラグインファイルの改ざんや削除の確認・アクセスログの確認　- message_send機能への不審なPOSTリクエスト　- ファイルアップロード機能への異常なアクセス　- 新規作成された不審なファイルへのアクセス (3) 追加のセキュリティ対策・サイト全体の完全バックアップ・管理者を含む全ユーザーアカウントのパスワード変更・ファイルアップロード機能の一時停止検討・Web Application Firewall（WAF）の導入検討 ⇒不審なファイルの発見や異常な動作が確認された場合は、直ちに専門家への相談を推奨します。
影響を受けるバージョン	WP User Frontend Pro 4.1.3 を含む、それ以前のバージョン
脆弱性情報 (CVE-ID / 公開日)	CVE-2025-3054 / RESERVED(2025/06/05時点) CVE-2025-3055 / RESERVED(2025/06/05時点)
脆弱性の深刻度 (CVSS v3)	基本値: 8.8 (重大)　[Wordfence] 基本値: 8.1 (重大)　[Wordfence]

参考　

WP User Frontend Pro <= 4.1.3 – Authenticated (Subscriber+) Arbitrary File Upload

WP User Frontend Pro <= 4.1.3 – Authenticated (Subscriber+) Arbitrary File Deletion

ソフトウェア脆弱性情報の著作権に関する注意事項

This record contains material that is subject to copyright.

License: Defiant hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute this software vulnerability information. Any copy of the software vulnerability information you make for such purposes is authorized provided that you include a hyperlink to this vulnerability record and reproduce Defiant’s copyright designation and this license in any such copy. Read more.

License: CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE’s copyright designation and this license in any such copy. Read more.