WordPressプラグイン「WP Import – Ultimate CSV XML Importer」に重大なセキュリティ脆弱性

「WP Import – Ultimate CSV XML Importer for WordPress」のバージョン 7.28 以下のすべてのバージョンで、重大なセキュリティ脆弱性が発見されました。

この脆弱性により、サイトに登録済みの低権限ユーザー（購読者レベル以上）が、サーバー上で任意のプログラムコードを実行したり、重要なファイルを削除することが可能となっています。攻撃が成功すると、サイト全体の管理権限が乗っ取られる危険性があります。対策バージョン 7.29 以降への更新を強く推奨します。

想定される事象

想定される被害	この脆弱性により、以下のような被害が想定されますサイト全体の乗っ取り　- 低権限ユーザーがサーバー上で任意のプログラムを実行可能　- WordPressの管理者権限が不正に取得される　- サイト全体のコンテンツや設定が改ざんされる可能性重要データの消失・漏洩　- wp-config.phpなど重要な設定ファイルが削除される　- データベース接続情報や暗号化キーが漏洩する　- 顧客情報や会員データが不正に取得される可能性サーバーへの継続的な侵入　- 攻撃者がバックドア（裏口）を設置する　- サイトがマルウェア配布の拠点として悪用される　- 他のサイトへの攻撃の踏み台として利用される
技術的な詳細	この脆弱性は、以下の問題に起因します (1) カスタム関数ファイルへの不正コード注入　・プラグインの`write_to_customfile()`関数で入力値の検証が不十分　・CSVインポート機能を通じて、PHPプログラムコードがそのまま`customFunction.php`ファイルに書き込まれる　・書き込まれたファイルが自動的に実行されるため、任意のコードが動作してしまう　・ファイルのアクセス権限が777（フルアクセス）で設定され、セキュリティが脆弱 (2) ファイルアップロード機能での権限チェック不備　・管理者権限（`manage_options`）を持たないユーザーでもファイルアップロード機能を使用可能　・CSRFトークンの検証のみで、適切な権限確認が実装されていない　・購読者レベルの低権限ユーザーでも機能を悪用できる状態 (3) ファイルパス検証の不備による任意ファイル削除　・FTPアップロード機能で削除対象ファイルのパス検証が不適切　・`../../../`などを使用してアップロードディレクトリ外のファイルを削除可能　・wp-config.phpなど重要なシステムファイルが削除される危険性 (4) ファイルタイプ制限の不備　・アップロード可能なファイル形式に制限がない　・悪意のあるスクリプトファイルがアップロードされる可能性
脆弱性の種類	CWE-94 コード・インジェクション CWE-73 ファイル名やパス名の外部制御
推奨対応事項	該当バージョンのプラグインをご利用の場合、以下の対応を強く推奨します (1) 緊急対応　・プラグインを対策バージョン（7.29以降）に更新 (2) 被害確認　・ファイルシステムの確認　　- `/wp-content/uploads/smack_uci_uploads/customFunction.php`ファイルの存在確認　　- 不審なPHPファイルがアップロードされていないかチェック　　- ファイルのアクセス権限に異常がないか確認　・ユーザーアカウントの確認　　- 身に覚えのない管理者アカウントが作成されていないか　　- 低権限ユーザーの権限が不正に昇格していないか　　- アカウントの最終ログイン時刻に異常がないか　・アクセスログの確認　　- CSVインポート機能への不審なアクセスの有無　　- `write_to_customfile`や`upload_function`を含むリクエスト　　- 短時間での大量のファイルアップロード (3) 追加のセキュリティ対策　・定期的なプラグイン更新：すべてのプラグインを最新版に保つ　・ユーザー権限の見直し：必要最小限の権限のみ付与　・セキュリティプラグインの導入：ファイル変更監視機能の利用　・定期的なバックアップ：システム全体の定期バックアップ実施 ⇒サイトに異常な動作が見られる場合や、不審なファイルが発見された場合は、WordPressの専門家やセキュリティ業者への相談をお勧めします。
影響を受けるバージョン	WP Import – Ultimate CSV XML Importer 7.28 以下のすべてのバージョン
脆弱性情報 (CVE-ID / 公開日)	CVE-2025-10057 / RESERVED(2025/09/17時点) CVE-2025-10058 / RESERVED(2025/09/17時点)
脆弱性の深刻度 (CVSS v3)	基本値: 8.8 (重大) 　[Wordfence] 基本値: 8.1 (重大) 　[Wordfence]

参考　

WP Import – Ultimate CSV XML Importer for WordPress 7.20 – 7.28 – Authenticated (Subscriber+) Remote Code Execution via Code Injection
WP Import – Ultimate CSV XML Importer for WordPress <= 7.27 – Authenticated (Subscriber+) Arbitrary File Deletion

ソフトウェア脆弱性情報の著作権に関する注意事項

This record contains material that is subject to copyright.

License: Defiant hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute this software vulnerability information. Any copy of the software vulnerability information you make for such purposes is authorized provided that you include a hyperlink to this vulnerability record and reproduce Defiant’s copyright designation and this license in any such copy. Read more.

License: CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE’s copyright designation and this license in any such copy. Read more.

「WordPressセキュリティ保守」をご利用のお客様へ

「Support」、「Technical」、「Customer」、「Service」の文字と技術的なWordPress顧客サポート

WordPress運用保守

さらに詳しく

WP Import – Ultimate CSV XML Importer プラグインをご利用のお客様へは、「対策バージョンへの更新状況と推奨対応事項」メールを順次ご案内しております。

WordPress プラグイン My WP Translate 情報（2025年9月11日時点）

最新版バージョン	7.29
対象 WordPress バージョン	5.0 またはそれ以降検証済み最新バージョン :6.8.2
有効インストール数	20,000+
プラグインページ	WP Import – Ultimate CSV XML Importer for WordPress – WordPress プラグイン \| WordPress.org 日本語