⚠️
緊急セキュリティアラート
お使いのWordPressプラグイン「import-export-with-custom-rest-api」に、極めて深刻な脆弱性が存在します。直ちに対応が必要です。
状況概要
このセクションでは、現在の危機的な状況を3つの重要なポイントで要約します。サイトが直面しているリスクの深刻度を即座に理解してください。
プラグイン名: import-export-with-custom-rest-api
作成者: Weboccult Technologies Pvt Ltd
調査日: 2025年6月14日
プラグインの状態
開発放棄 (破棄済み)
公式リポジトリから削除済み
最高リスクレベル
CVSS 9.8 (緊急)
サイト乗っ取りの可能性
推奨されるアクション
即時アンインストール
安全なバージョンはありません
脅威の解説
この脆弱性がどのようにサイトの完全な乗っ取りにつながるかを簡単に説明します。攻撃者は認証なしで、管理者アカウントを作成することが可能です。
→
2. 脆弱なインポート機能
認証チェックの欠如を悪用
→
3. 管理者アカウント作成
悪意のあるデータを送信
→
脆弱性の詳細
このセクションでは、関連する脆弱性の技術的な詳細を提供します。各カードをクリックして、詳細情報を確認してください。
CVE-2025-5288: 認証の欠如
CVSS: 9.8
▼
タイプ: 認証の欠如による権限昇格 (CWE-862)
影響バージョン: 2.0.3 以前の全て
修正済みバージョン: なし
詳細: データインポート機能において、リクエスト元の権限を確認する処理が完全に欠落しています。これにより、認証されていない攻撃者が、管理者権限を持つユーザーを任意に作成できます。
CVE-2024-54228: 開発者の過去の脆弱性
CVSS: 6.5
▼
対象プラグイン: Wot Elementor Widgets (別製品)
タイプ: クロスサイトスクリプティング (XSS)
詳細: 同一開発者による別プラグインでも、過去に修正パッチが提供されない脆弱性が報告されています。これは開発プロセス全体に潜在的なリスクがあることを示唆しており、この開発者の製品利用には注意が必要です。
今すぐ実行すべきアクションプラン
以下の手順に従って、直ちにサイトを保護してください。これは段階的なガイドです。
1
プラグインのアンインストール
WordPressの管理画面から「import-export-with-custom-rest-api」プラグインを直ちに無効化し、アンインストール（削除） してください。これが最も重要な最初のステップです。
2
侵害の確認
サイトがすでに侵害されていないか確認してください。特に、見知らぬ管理者ユーザーが追加されていないか、「ユーザー一覧」を慎重に確認します。不審なアカウントを発見した場合は、サイトが完全に侵害されたと想定して対応してください。
3
代替ソリューションの検討
データ移行が必要な場合は、より安全で、活発にメンテナンスされている代替プラグインや、WordPress標準のインポート／エクスポート機能の利用を検討してください。
4
セキュリティ体制の強化
この機会にサイト全体のセキュリティを見直しましょう。不要なプラグインの削除、強力なパスワードの使用、二要素認証の導入、定期的なバックアップの確認などを実施してください。
このアラートは、NVD, MITRE, Wordfence等から提供された公開情報に基づいています。(2025年6月14日時点)
import-export-with-custom-rest-apiプラグインの主な機能
カスタムREST APIエンドポイントの作成
WordPressの投稿、カスタム投稿タイプ、ユーザー情報などのデータを、外部のアプリケーションやサービスと連携させるための独自のAPIエンドポイントを生成する機能。
API経由でのインポート・エクスポート
上記で作成したAPIを利用して、JSONなどの形式でデータを一括でインポートしたり、エクスポートしたりする機能。
import-export-with-custom-rest-apiに替わる代替えプラグインの紹介
Pods – Custom Content Types and Fields
URL
https://wordpress.org/plugins/pods/
特徴
カスタム投稿タイプ、カスタムタクソノミー、カスタムフィールドを一つのプラグインで管理できます。
有効インストール数
100,000以上
最終更新日時
2024年11月13日（日本時間2025年6月15日時点のWordPress.org情報に基づく）
乗り換えによる主なデメリット
このプラグインは、まずデータ構造（カスタム投稿タイプなど）を定義し、それをAPIとして公開する、という思想です。元のプラグインのようにAPIエンドポイントそのものを直接設計するのとはアプローチが異なります。
Custom Post Type UI + Advanced Custom Fields (ACF)
特徴
Custom Post Type UI (CPT UI): カスタム投稿タイプとカスタムタクソノミーを簡単に作成・管理できます。
乗り換えによる主なデメリット
2つのプラグインを組み合わせて利用するため、設定が少し煩雑に感じる可能性があります。
レポート担当者コメント
このプラグイン、手軽にAPI連携ができて便利でしたが、セキュリティに致命的な穴があり、開発も止まっているとなると、もうサイトの「時限爆弾」と同じですね。即刻アンインストールは必須です。今後の安定運用と拡張性を考えれば、少し手間はかかっても、「Custom Post Type UI」と「ACF」に乗り換えるのがベストな選択です。情報も豊富でずっと安全に使えるので、急いで移行を進めましょう！
