WordPressで求人サイト・転職サイトを構築するプラグイン「WP Job Portal – A Complete Recruitment System for Company or Job Board website」のバージョン 2.3.2 以下のすべてのバージョンで、2つの重大なセキュリティ脆弱性が発見されました。
これらの脆弱性により、ログインしていない攻撃者でも（1）データベース内の求人情報・履歴書・企業情報への不正アクセス、（2）サーバー内の任意ファイルの読み取りが可能となっています。求人サイトという性質上、個人情報や企業の機密情報が多数保存されているため、早急に対策バージョン 2.3.3 以降への更新を強く推奨します。
想定される事象
| 想定される被害 | この脆弱性により、以下のような被害が想定されます ・データベース情報の漏洩・改ざん - 求人情報の窃取: 企業の募集内容、給与情報、連絡先などの漏洩 - 履歴書情報の大量窃取: 求職者の氏名、住所、職歴、学歴、連絡先の流出 - 企業情報の漏洩: 登録企業の詳細情報、担当者情報の窃取 - データベースの改ざん: 求人情報の書き換えや削除による事業妨害 ・サーバーファイルの不正取得 - WordPressの設定情報窃取: データベース接続情報などの機密設定の流出 - 他サイトファイルへのアクセス: 共有サーバー環境での他サイト情報漏洩 - システムファイルの読み取り: サーバーの設定情報や認証情報の窃取 ・継続的な被害リスク - 認証情報の乗っ取り: 管理者権限取得による完全なサイト制御 - 偽求人の掲載: 詐欺目的の虚偽求人による求職者被害 - 個人情報の二次利用: 窃取した情報の名簿業者への転売や悪用 |
|---|---|
| 技術的な詳細 | この脆弱性は、以下の問題に起因します (1) SQLインジェクション（カテゴリ管理機能） ・入力検証の不備: parentidパラメータの数値チェックが実装されていない・SQLエスケープ処理の欠如: ユーザー入力がそのままSQL文に埋め込まれる ・修正前のコード: WHERE parentid = $category・修正後のコード: WHERE parentid = ".esc_sql($category) + 数値チェック追加(2) パストラバーサル（ファイルダウンロード機能） ・ファイルパス検証の不備: 相対パス（ ../）を含むファイル名の処理が不適切・ファイル名サニタイゼーション不足: ディレクトリ移動を防ぐ処理が未実装 ・修正前: スペースをアンダースコアに置換するのみ ・修正後: wpjobportalphplib::wpJP_clean_file_path()による相対パス除去処理を追加(3) 認証不要での攻撃実行 ・両脆弱性とも認証不要: WordPressにログインしていない状態でも攻撃実行可能 ・外部からの直接攻撃: インターネット経由で誰でも攻撃可能な状態 |
| 脆弱性の種類 | CWE-22 パス・トラバーサル CWE-89 SQLインジェクション |
| 推奨対応事項 | 該当バージョンのプラグインをご利用の場合、以下の対応を強く推奨します (1) プラグインの更新 ・プラグインを対策バージョン（2.3.3以降）に更新 (2) 被害確認 ・データベースの確認 - 求人情報・履歴書・企業情報の改ざんや削除の有無 - 身に覚えのないカテゴリや管理者アカウントの作成 - 不審な求人投稿や企業登録の確認 ・アクセスログの確認 - parentidパラメータに異常な値を含むリクエスト- ファイルダウンロード機能への不審なアクセス - ../を含むファイル名でのアクセス試行・ファイルの確認 - WordPressの設定ファイル（wp-config.php）への不正アクセス形跡 - サーバー内のシステムファイルへのアクセスログ (3) 追加のセキュリティ対策 ・定期的なプラグイン更新: すべてのプラグインを最新版に保つ ・データベースバックアップ: 定期的なバックアップの実施と復旧テスト ・アクセス制限の強化: 管理画面へのIPアドレス制限 ・セキュリティプラグインの導入: WordPressセキュリティプラグインの利用 ⇒求人サイトに異常な投稿が見られる場合や、不審なファイルアクセスが確認された場合は、レンタルサーバー会社のサポートやWordPressの専門家への相談をお勧めします。 |
| 影響を受けるバージョン | WP Job Portal 1.1.30 以下のすべてのバージョン |
| 脆弱性情報 (CVE-ID / 公開日) | CVE-2025-48273 / 2025/05/23 CVE-2025-48274 / 2025/06/17 |
| 脆弱性の深刻度 (CVSS v3) | 基本値: 7.5 (重大) [Wordfence] 基本値: 7.5 (重大) [Wordfence] |
ソフトウェア脆弱性情報の著作権に関する注意事項
This record contains material that is subject to copyright.
Copyright 2012-2024 Defiant Inc.
License: Defiant hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute this software vulnerability information. Any copy of the software vulnerability information you make for such purposes is authorized provided that you include a hyperlink to this vulnerability record and reproduce Defiant’s copyright designation and this license in any such copy. Read more.
Copyright 1999-2024 The MITRE Corporation
License: CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE’s copyright designation and this license in any such copy. Read more.
「WordPressセキュリティ保守」をご利用のお客様へ
WordPress
WP Job Portal プラグインをご利用のお客様へは、「対策バージョンへの更新状況と推奨対応事項」メールを順次ご案内しております。
WordPress プラグイン WP Job Portal 情報
| 最新版 バージョン | 2.3.6 |
|---|---|
| 対象 WordPress バージョン | 5.5 またはそれ以降 検証済み最新バージョン :6.8.2 |
| 有効インストール数 | 8,000+ |
| プラグイン ページ | WP Job Portal – AI-Powered Recruitment System for Company or Job Board website – WordPress プラグイン | WordPress.org 日本語 |
