概要
WordPress向けeラーニングおよびオンラインコースソリューションプラグイン「Tutor LMS」において、SQLインジェクションの脆弱性（CVE-2025-13673）が報告されました。この脆弱性は、「coupon_code」パラメータに対するユーザー入力の不十分なエスケープ処理と、既存のSQLクエリに対する準備不足に起因します。これにより、認証されていない攻撃者がデータベースから機密情報を窃取する可能性があるとされています。本脆弱性の深刻度は「HIGH」と評価されています。
なお、この脆弱性はバージョン3.9.4および3.9.6で部分的に緩和されたと報告されていますが、完全な修正ではない可能性があります。
影響範囲
影響を受ける製品
- WordPressプラグイン「Tutor LMS – eLearning and online course solution」
影響を受けるバージョン
- バージョン3.9.6を含む、それ以前の全てのバージョン
想定される影響
本脆弱性が悪用された場合、認証されていない攻撃者が細工されたSQLクエリを挿入することで、Tutor LMSのデータベースに保存されている機密情報（例：ユーザー情報、コースデータなど）を不正に取得する可能性があります。これにより、情報漏洩や不正アクセスといったセキュリティリスクが高まることが考えられます。
攻撃成立条件・悪用状況
攻撃は、「coupon_code」パラメータに対する不適切なエスケープ処理と、既存のSQLクエリに対する不十分な準備が原因で成立します。認証されていない攻撃者でも悪用が可能であると報告されています。
現時点での具体的な悪用状況については、提供された情報からは不明です。
推奨対策
優先度：高
- Tutor LMSプラグインのアップデート: 速やかにTutor LMSプラグインを最新バージョンにアップデートしてください。提供情報ではバージョン3.9.6までが影響を受けるとされているため、それ以降の修正済みバージョンへの更新が強く推奨されます。
中長期的な対策
- WordPress本体および関連コンポーネントの更新: WordPress本体、他のプラグイン、およびテーマも常に最新の状態に保ち、既知の脆弱性から保護してください。
- Webアプリケーションファイアウォール（WAF）の導入: SQLインジェクション攻撃を検知し、ブロックするためにWAFの導入を検討してください。
- 定期的なセキュリティ診断: 定期的にWebアプリケーションのセキュリティ診断を実施し、潜在的な脆弱性を早期に発見・対処する体制を構築してください。
一時的な緩和策
提供された情報からは、具体的な一時的な緩和策は明記されていません。WAFによる保護が有効な場合がありますが、根本的な解決にはプラグインのアップデートが必要です。
確認方法
現在ご利用中のTutor LMSプラグインのバージョンを確認し、影響を受けるバージョン（3.9.6以前）に該当しないか確認してください。
参考情報
- CVE-2025-13673の詳細情報: https://cvefeed.io/vuln/detail/CVE-2025-13673