脆弱性の一覧へ戻る
編集部の見出し：WordPress Enable Media Replace。安全でないデシリアライズで PHP オブジェクトインジェクション
NVD の情報
The Enable Media Replace WordPress plugin before 4.2.3 does not restrict the classes allowed when deserializing stored metadata during its media replace-and-update-links routine, allowing unauthenticated users to inject a PHP object that is instantiated when a user with upload access performs a routine media replacement, resulting in PHP Object Injection and local file inclusion of existing PHP/HTML files, which can be escalated to remote code execution where an attacker-influenced PHP or HTML file is present on the server. This is a regression of CVE-2023-4643, which was fixed in 4.1.3 and reintroduced in 4.1.4.
- 公開日
- 2026-10-30
- 最終更新（NVD）
- 2026-10-30
- NVD の状態
- Received
悪用の状況
CISA KEV には掲載されていません（掲載されていないことは、悪用されていないことの証明ではありません）。
解消方法
- 解消方法の情報なし
「NVD の条件から推定」は、NVD が影響ありとする版の上限から読み取ったもので、修正版とは限りません。「解消方法の情報なし」は、修正が無いという意味ではありません。必ずベンダーの公告で確認してください。
編集部の記載（レポート掲載時）
レポートの編集部がベンダー公告などから転記した内容です。検証済みの値ではないため、必ず出典で確認してください。
2026-10-30 のレポートWordPress Enable Media Replace。安全でないデシリアライズで PHP オブジェクトインジェクション
NVD に点数なし（点数は推測しない）。RCE の恐れと NVD の説明文にある。修正版は未確認。
悪用状況（編集部）：不明
参照（NVD）
NVD から取得：2026-10-30T06:40:41.234Z
This product uses the NVD API but is not endorsed or certified by the NVD.
悪用の確認情報は CISA Known Exploited Vulnerabilities Catalog（NVD 経由で取得）によります。EPSS は FIRST（www.first.org/epss）によります。