WordPressプラグイン「LifterLMS」の脆弱性（CVE-2025-2290）について

2025年3月18日、WordPressの人気プラグイン「LifterLMS」において、新たな脆弱性（CVE-2025-2290）が公表されました。

この脆弱性は、権限チェックの欠如により、認証されていない攻撃者がサイトのコンテンツを意図せず変更できる可能性があるものです。特に、攻撃者が公開記事を「ゴミ箱」へ移動できるため、サイトの可用性に影響を及ぼす恐れがあります。

LifterLMSとは？

LifterLMSは、WordPressサイト上でeラーニングプラットフォームを構築できる学習管理システム（LMS）プラグインです。

無料で利用可能なコア機能に加え、有料アドオンを活用することで、高度なオンラインコースの作成・販売、メンバーシップサイトの構築などが可能になります。

主な機能:

• 直感的なコースビルダー
• 学習者の進捗追跡
• Stripe・PayPalなどの決済統合
• コミュニティ機能
• 主要なページビルダーとの互換性

LifterLMSの詳細については、公式ページをご覧ください。

脆弱性の詳細（CVE-2025-2290）

影響範囲:

• 機密性（C）: 影響なし
• 完全性（I）: 低い影響
• 可用性（A）: 影響なし

脆弱性の内容

LifterLMS（バージョン8.0.1以前）において、delete_access_plan関数および関連するAJAXリクエストに対する権限チェックが適切に実装されていません。このため、認証されていない攻撃者が以下のような攻撃を実行する可能性があります。

• 投稿を「ゴミ箱」に移動し、サイトのコンテンツを非表示にする
• サイト運営者の意図しない形でコンテンツ管理を妨害する

この問題により、サイトの可用性が低下し、ユーザーの閲覧体験に影響を与える可能性があります。

対策方法

この脆弱性の影響を受ける可能性がある場合は、以下の対策を早急に実施してください。

1. プラグインのアップデート
   • 最新バージョンに更新することで、脆弱性が修正されている可能性があります。
   • LifterLMS公式ページ から最新版を確認してください。
2. サイトの権限管理を強化
   • 不要なユーザーアカウントを削除
   • WordPressの権限設定を見直し、不審な動作を監視
3. セキュリティプラグインの活用
   • WordfenceやiThemes Securityなどのセキュリティプラグインを導入し、サイトのセキュリティを強化
   • 不審なアクセスや変更履歴を監視

まとめ

CVE-2025-2290は、LifterLMSプラグインにおける認証不足の脆弱性であり、悪用されるとサイトのコンテンツが意図せず変更される可能性があります。現在LifterLMSを利用している場合は、最新バージョンにアップデートし、サイトのセキュリティ強化を図ることが重要です。

今後もWordPressの脆弱性情報を定期的に確認し、セキュリティ対策を徹底しましょう。

参考:

• NVD（National Vulnerability Database）CVE-2025-2290
• LifterLMS公式プラグインページ