Motorsプラグインに重大なSQLインジェクション脆弱性、修正版要確認
WordPress向けプラグインMotorsに、データベースの内容を外部から読み取られるおそれのある重大な脆弱性が見つかりました。中古車販売や車両掲載サイトをWordPressで運用している組織は、導入の有無と版をまず確認してください。修正版の情報がそろうまでは、プラグインの停止も含めて検討する段階です。
急ぎ度: 早めに
CVSS v3が9.3の重大な脆弱性で、認証なしで外部から届くうえ、修正版の版番号も確認できていないため、悪用の確認が出ていなくても早めの確認が必要です。
関係があるか
StylemixThemesのMotorsプラグインを使うWordPressサイトが対象です。車両販売や分類広告の掲載サイトで使われることの多いプラグインで、インターネットに公開しているサイトほど影響を受けやすくなります。
| 製品 | 影響を受ける版 | 直った版 |
|---|---|---|
| StylemixThemes Motors（motors-car-dealership-classified-listings） | 1.4.126以前 | 版番号は未確認。ベンダーの告知で確認してください |
確かめ方
- 1WordPressの管理画面でプラグイン一覧を開き、motors-car-dealership-classified-listingsに当たるプラグインが入っているかを調べます。
- 2入っていれば、表示されている版が1.4.126以前かどうかを見ます。
- 3複数のサイトを管理している場合は、サイトごとに同じ確認をします。ステージング環境や、使っていない古いサイトも忘れずに対象にしてください。
- 4WP-CLIが使えるサーバーでは、
wp plugin get motors-car-dealership-classified-listings --field=versionで版を確認できます。
何が起きたか
WordPress向けプラグインMotorsに、SQLインジェクションの脆弱性が見つかりました。悪用されると、サイトのデータベースに保存されている情報を外部から読み取られるおそれがあります。
SQL文に使う値の無害化が不十分で、外部から送られた入力がデータベースへの問い合わせに影響してしまうものです。分類はCWE-89で、Blind SQL Injectionと呼ばれる型にあたります。実行結果が画面にそのまま表示されない代わりに、応答の違いなどから情報を少しずつ推測される型です。
CVSS v3のベクターでは、機密性への影響が高、可用性への影響が低、完全性への影響はなしと評価されています。公開日は2026年10月29日で、脆弱性情報はPatchstackのデータベースやGitHub Advisory、NVDに登録されています。
攻撃の流れ
-
1
対象サイトの特定
Motorsプラグインを使うWordPressサイトを、外部から見つけ出します。
-
2
細工した要求の送信
ログインしないまま、サイトに問い合わせを装った要求を送ります。
-
3
応答の違いを観察
結果は画面に出ないため、応答の違いから少しずつデータベースの内容を推測します。
-
4
情報の読み取り
データベースに保存された情報が外部に漏れます。
どう悪用されるか
悪用にログインは要りません。インターネットからサイトに到達できれば、ネットワーク経由で試せます。攻撃の複雑さは低く、サイト管理者や訪問者に何かの操作をさせる必要もありません。
被害の中心は、データベースの内容の読み取りです。WordPressのデータベースにはプラグインの掲載データのほか、同じサイトの利用者情報なども保存されているため、評価上も影響がプラグイン単体の範囲を超えるとされています。データの改ざんは評価に含まれていませんが、可用性には限定的な影響があります。
今すぐやること
-
1
導入の有無と版を確認する
自社が運用する全WordPressサイトで、Motorsプラグインの有無と版を洗い出します。委託先が運用しているサイトも、問い合わせて確認します。
wp plugin get motors-car-dealership-classified-listings --field=version -
2
ベンダーの告知で修正版を確認する
StylemixThemesの告知やプラグインの更新履歴、Patchstackのページで、修正版が出ているかを確認します。
-
3
修正版に更新する
修正版が出ていれば、バックアップを取ったうえで更新します。更新後は掲載ページと問い合わせ機能が動くかを確かめます。
-
4
更新できない間は停止を検討する
修正版がまだ無い場合は、サイトの運用上止められるかを判断し、止められるならプラグインを無効にします。止められない場合は、下の回避策を組み合わせます。
-
5
不審な形跡がないか見る
公開日以降のWebサーバーのアクセスログで、プラグインに関わるURLへの同じような要求が短時間に大量に来ていないかを確認します。心当たりがあれば、データベース内の情報が漏れた前提で、パスワード変更などの対応を進めてください。
すぐ更新できないとき
修正版を当てられない間は、プラグインを無効にするのが最も確実です。無効にできない場合は、WAFでSQLインジェクションを検知するルールを有効にし、アクセスログの監視を強めます。ただし、WAFは完全な防御ではないため、修正版が出たら更新してください。
背景
Motorsは、車両販売店や分類広告サイトの掲載機能をWordPressに追加するプラグインです。車両の一覧や検索、問い合わせの受け付けなど、訪問者が直接触れる機能を受け持つため、ログインなしで届く入口が多くなります。
WordPressのプラグインは、サイト本体と同じデータベースを使います。掲載データ用の入口に脆弱性があると、同じデータベースにある利用者情報などにも影響が及びえます。今回のCVSS評価で影響範囲が変わる扱いになっているのも、この構成が理由とみられます。
よくある質問
Q.WAFを入れていれば、更新しなくても大丈夫ですか。
Q.すでに情報が盗まれたかどうかは、どうすれば分かりますか。
まだ分かっていないこと
- 修正版の版番号と公開時期が分かっていません。StylemixThemesの告知やプラグインの更新履歴で確認してください。
- 実際の攻撃で悪用されたかどうかは分かっていません。KEVへの登録状況やEPSSの値は、NVDやCISAの情報で確認してください。
- 脆弱性があるプラグイン内の機能やURLなど、具体的な箇所は公表されていません。
この記事は、取得元の公開情報をもとに生成 AI で作成しています。誤りを含むことがあります。対応を決める前に、下の原文と参照先を確認してください。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 直った版 |
|---|---|---|---|
| StylemixThemes | Motors |
1.4.126 以前 |
— |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection') vulnerability in StylemixThemes Motors motors-car-dealership-classified-listings allows Blind SQL Injection.This issue affects Motors: from n/a through 1.4.126.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web audit@patchstack.com
- web nvd.nist.gov
- web github.com