CVE-2020-11738とは？WordPress Snap Creek Duplicator Pluginの脆弱性をわかりやすく解説

ひとことでWordPress の Duplicator プラグインで、サーバーのファイルを読み出される弱点
深刻度7.5 重要CVSS v3.1
まずやることDuplicatorを1.3.28以降に更新する

基本情報（データから表示）

CVE番号	CVE-2020-11738
製品	WordPress Snap Creek Duplicator Plugin
深刻度（CVSS）	7.5 重要CVSS v3.1 NVD による評価詳細（ベクター） `CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N`
KEVへの追加日	2021-11-03
米国政府機関の対応期限	2022-05-03
ランサムウェアでの悪用	不明（確認されていない）
弱点の種類（CWE）	CWE-22（パストラバーサル）

何が起きた

WordPress のプラグイン Snap Creek Duplicator に、ディレクトリトラバーサルの弱点が見つかりました。CVE の記録によると、duplicator_download や duplicator_init の file という値に ../ を入れることで、本来は見られない場所のファイルを取り出せます。NVD の評価では、ネットワーク経由で、ログイン不要の攻撃者が悪用できます。CISA によると、実際の悪用が確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

WordPress で Duplicator または Duplicator Pro を使っているサイトが対象です。CVE の記録によると、影響を受けるのは Duplicator の 1.3.28 より前と、Duplicator Pro の 3.8.7.1 より前です。

何をすればいい

CVE の記録にもとづき、Duplicator を 1.3.28 以降に、Duplicator Pro を 3.8.7.1 以降に更新されているか確認してください。メーカーの公式の案内も確認してください。

やることチェックリスト

Duplicatorを1.3.28以降に更新する
Duplicator Proを3.8.7.1以降に更新する
使っているプラグインの版を確かめる

用語メモ

プラグイン用語集で見る: WordPress に機能を追加するための部品となるソフトウェアです。
ディレクトリトラバーサル用語集で見る: ../ のような指定を使い、本来は見られないフォルダのファイルを読み出す攻撃です。

次に読む

同じ製品・メーカーの脆弱性WordPress Core（CVE-2026-87902）8.1 重要CVSS v3.1WordPressで、ページのテンプレートの処理を悪用して遠隔でプログラムを実行される弱点です。同じ製品・メーカーの脆弱性WordPress Core（CVE-2026-63030）9.8 緊急CVSS v3.1WordPressのREST APIのまとめて送る窓口で、道筋の取り違えから、別の弱点と組み合わせて乗っ取られる弱点です。基本の解説KEV とはCISAが悪用を確認した脆弱性の一覧。載る条件

最新の脆弱性の一覧に戻る・これまでの記事をすべて見る

公式情報と元データ

公式情報

元データ（英語・CISA KEV より）を開く

WordPress Snap Creek Duplicator Plugin File Download Vulnerability

概要

WordPress Snap Creek Duplicator plugin contains a file download vulnerability when an administrator creates a new copy of their site that allows an attacker to download the generated files from their Wordpress dashboard. This vulnerability affects Duplicator and Dulplicator Pro.

推奨対応

Apply updates per vendor instructions.

この元データの出どころ: CISA KEV カタログで見る

WordPress Snap Creek Duplicator Plugin の脆弱性（CVE-2020-11738）