1. セキュリティ対策ラボ
  2. セキュリティニュース
  3. TI WooCommerce Wishlistプラグインに認証不要のファイルアップロード脆弱性、修正未提供のまま公開中

TI WooCommerce Wishlistプラグインに認証不要のファイルアップロード脆弱性、修正未提供のまま公開中

セキュリティニュース

投稿日時: 更新日時:

TI WooCommerce Wishlistプラグインに認証不要のファイルアップロード脆弱性、修正未提供のまま公開中

2025年5月27日、セキュリティ研究者が「TI WooCommerce Wishlist」プラグインにおいて深刻な脆弱性（CVE-2025-47577）を発見し、公開されました。この脆弱性により、認証なしに任意のファイルをアップロード可能となることが判明しており、CVSSスコアは満点の10.0が与えられています。

脆弱性の対象バージョン

  • バージョン2.9.2およびそれ以前

なお「WC Fields Factory」プラグインが有効である場合にのみ悪用が可能です。開発者からの修正パッチは提供されていませんので利用停止をお勧めします。

プラグイン概要

「TI WooCommerce Wishlist」は、WordPress上で稼働するWooCommerceにウィッシュリスト機能を追加するプラグインで、アクティブインストール数は10万以上。また、WC Fields Factoryなどの他の拡張機能との連携も可能で、カスタムフィールドの追加やフォーム機能の強化が可能です。

脆弱性の詳細

問題は、tinvwl_upload_file_wc_fields_factory()関数に起因します。この関数では、WordPressのwp_handle_upload()関数を使用していますが、**ファイル形式の検証を明示的に無効化（'test_type' => false）**する設定が含まれており、任意のファイル形式を通過させてしまいます。

$upload = wp_handle_upload(
$file,
[
'test_form' => false,
'test_type' => false,
]
);

これにより、攻撃者はPHPファイルをアップロードし、リモートからそのファイルにアクセスすることで、**サーバ上で任意のコードを実行（RCE）**することが可能になります。

さらに、この脆弱性は「WC Fields Factory」プラグインが有効である場合にのみ悪用可能ですが、組み合わせて使用しているユーザーは少なくないため、広範な影響が懸念されます。

パッチ状況と対策

2025年5月27日時点で、開発者からの修正パッチは提供されていません。 そのため、ユーザーには次の対策が推奨されます

  • プラグインの無効化と削除

  • WC Fields Factoryとの連携解除

  • 可能であれば、Patchstackなどのセキュリティサービスを導入して脆弱性を緩和

開発者側には、wp_handle_upload()の使用時にtest_typeオプションを使用せず、WordPress標準のバリデーションを有効に保つよう対処が求められます。

関連記事

Microsoftが偵察から仮想通貨 盗難まで行うトロイの木馬「StilachiRAT」を発見Microsoftが偵察から仮想通貨 盗難まで行うトロイの木馬「StilachiRAT」を発見 Advanced Custom Fields (ACF)でクロスサイトスクリプティングの脆弱性（CVE-2024-45429)Advanced Custom Fields (ACF)でクロスサイトスクリプティングの脆弱性（CVE-2024-45429) Windows MSHTMLの脆弱性が１年以上サイバー攻撃に悪用されていた（CVE-2024-38112）Windows MSHTMLの脆弱性が１年以上サイバー攻撃に悪用されていた（CVE-2024-38112） Volt TyphoonがVersa Director のゼロデイ脆弱性を悪用し不正アクセスVolt TyphoonがVersa Director のゼロデイ脆弱性を悪用し不正アクセス Androidの重大な脆弱性が標的型攻撃などへ悪用の可能性(CVE-2024-43093,CVE-2024-50302)Androidの重大な脆弱性が標的型攻撃などへ悪用の可能性(CVE-2024-43093,CVE-2024-50302) Pythonのフレームワーク Djangoで深刻な脆弱性に対応するセキュリティパッチがリリース(CVE-2024-53908,CVE-2024-53907)Pythonのフレームワーク Djangoで深刻な脆弱性に対応するセキュリティパッチがリリース(CVE-2024-53908,CVE-2024-53907) ハッカーがPHPの脆弱性を悪用し、日本を標的にサイバー攻撃を実行(CVE-2024-4577)ハッカーがPHPの脆弱性を悪用し、日本を標的にサイバー攻撃を実行(CVE-2024-4577) PHPのLivewireで108万件利用されているライブラリ Voltで脆弱性(CVE-2025-27517)PHPのLivewireで108万件利用されているライブラリ Voltで脆弱性(CVE-2025-27517) MongoDB、複数のDoS・認証バイパス 脆弱性の修正パッチを公開MongoDB、複数のDoS・認証バイパス 脆弱性の修正パッチを公開