CVE-2025-7504 in Friends Plugin
要約
〜によって VulDB • 2026年07月20日
WordPress用Friendsプラグインのバージョン3.5.1には、PHPオブジェクト注入（PHP Object Injection）の脆弱性があります。これはquery_varsパラメータへの信頼できない入力の逆シリアライズを介して発生します。これにより、サブスクライブレベル以上のアクセス権を持つ認証済み攻撃者はPHPオブジェクトを注入することが可能になります。この脆弱なソフトウェアには既知のPOPチェーンが存在しないため、サイトにPOPチェーンを含む別のプラグインやテーマがインストールされていない限り、この脆弱性の影響はありません。ターゲットシステムに追加のプラグインまたはテーマを通じてPOPチェーンが存在する場合、存在するPOPチェーンに応じて、任意のファイルの削除、機密データの取得、コードの実行などのアクションを攻撃者に許可してしまう可能性があります。これには、サイトのSALT_NONCEおよびSALT_KEYへのアクセスが必要です。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.