WordPressの設置された機器のすべてのファイルの取り出し

WordPressは、HTMLなどの専門知識がなくてもWebサイトやブログを簡単に作成・管理できる、世界シェアNo.1のオープンソースCMS（コンテンツ管理システム）です。
ソフトウェアは無料でオープンソースのため、誰でも自由に利用し、改変することが可能です。
高機能であることもあり、利用者が多い状況です。
このWordPressのもう一つのユーザを引き付けている特徴の一つが豊富なプラグインです。
もとから高機能なのですが、それをさらに拡張することのできる機能としてプラグイン機能があります。
無料のプラグインだけでもすでに6万種以上が公開されている状態にあり、有償のものを含めるとその数は10万種に達するといわれています。
このプラグインの一つに、重大な脆弱性が確認されています。

CVE-2026-3098
これは、Smart Slider 3という名称のプラグインにおいて確認されている脆弱性のCVE番号です。
この脆弱性は、プラグインのAJAXエクスポートアクションにおける権限チェックの不備がもとになって作用します。
この不備により、サイト購読者を含む認証済みのユーザであれば誰でもこのエクスポートのアクションを実行できてしまいます。
このエクスポート機能には、脆弱性のあるバージョンではファイルの種類やファイルソースのチェックが一切含まれていません。
サイトで公開されている画像ファイルや動画ファイルだけでなく、データベースの認証情報や暗号化セキュリティのための鍵とソルトを含むサイトの重要な秘密にすべきファイルまでも取り出すことができてしまいます。
最小限のアクセス権限しか持たない認証済み攻撃者が、サーバ上の任意のファイルを読み取ることを可能にしてしまうものとなっています。
3.5.1.33までのすべてのバージョンが脆弱です。
このSmart Slider 3は人気のプラグインです。
最近の1週間でのダウンロード数は30万回を超えています。
そして脆弱な状態のバージョンを設置した状態のウェブサイトは50万を超えていると考えられます。

あなたのサイトでは、どのようなプラグインを使用していますか？
それらはすべて妥当なバージョンになっていますか？
明確な回答ができない場合は、運用の見直しを検討する必要があるかもしれません。

800,000 WordPress Sites Affected by Arbitrary File Read Vulnerability in Smart Slider 3 WordPress Plugin
https://www.wordfence.com/blog/2026/03/800000-wordpress-sites-affected-by-arbitrary-file-read-vulnerability-in-smart-slider-3-wordpress-plugin/