The NewsBlogger theme for WordPress is vulnerable to Cross-S…(CVE-2025-12821・CVSS 8.8)

概要

The NewsBlogger theme for WordPress is vulnerable to Cross-Site Request Forgery in versions 0.2.5...

原文の説明

取得元が公開している説明をそのまま載せています (多くは英語)。

The NewsBlogger theme for WordPress is vulnerable to Cross-Site Request Forgery in versions 0.2.5.6 to 0.2.6.1. This is due to missing or incorrect nonce validation on the newsblogger_install_and_activate_plugin() function. This makes it possible for unauthenticated attackers to upload arbitrary files and achieve remote code execution via a forged request granted they can trick a site administrator into performing an action such as clicking on a link. This is due to a reverted fix of CVE-2025-1305.

出典: NIST National Vulnerability Database NVD GitHub Advisory

AI要約

外部の AI が作成した要約です。誤りを含むことがあります。重要な判断の前に、下の原文と参照URLを確認してください。

WordPressのNewsBloggerテーマにおけるバージョン0.2.5.6から0.2.5.9は、CSRF脆弱性に対して脆弱です。この問題は、newsblogger_install_and_activate_plugin()関数におけるnonceの不適切な検証に起因しています。サイト管理者を欺いてリンクをクリックさせると、認証されていない攻撃者が任意のファイルをアップロードし、リモートコード実行を達成する可能性があります。

❓ 何が問題か

WordPress NewsBloggerテーマにおけるCSRF脆弱性。

📍 影響範囲

バージョン0.2.5.6から0.2.5.9のnewsblogger_install_and_activate_plugin()関数。

🔥 重要度

攻撃者が任意のファイルをアップロードしリモートコード実行を行う可能性があるため、深刻度が高い。

🔧 修正方法

CSRF攻撃を防ぐために、nonceの正しい検証を実装すること。

🛡️ 暫定回避

情報なし

🔍 検知方法

ログを確認し、不審なリクエストがないかチェックする。