おっしゃる通りです。しかし、まず確認すべきは「当該プラグインを我々のサーバーに導入しているか否か」です。次に、admin-ajax.phpのパラメータが適切にサニタイズされているか、CSRF対策が施されているかを確認する必要があります。たとえば、GETパラメータにディレクトリトラバーサルが含まれていないか、その処理が許可されていないか。このプラグインがインストールされていないなら、問題はゼロです。

まず、影響範囲を限定的とは言え、サーバー内に存在する機密情報が漏洩する可能性があります。したがって、サーバー上のファイル構成を確認し、特にwp-contentやtmpディレクトリの権限設定を点検する必要があります。また、プラグインのバージョンが1.13.1に限定されている場合、製品のアップデート履歴をベンダーの公式サイトで確認し、最新版への移行を検討すべきです。

CVSSが4でも、リスクの「可能性」はゼロではありません。特にPHPを用いるLinuxサーバーでは、パラメータのサニタイズが不十分な場合、攻撃者が悪意のフォームを送信して認証をバイパスする可能性があります。変更管理の観点から、パッチ適用後の設定変更を変更履歴に記録し、監視ツールでadmin-ajax.phpの異常なアクセスを検出する仕組みを整えるべきです。

「確認」です。プラグインの存在を確認し、パラメータの処理を確認し、ベンダー情報とパッチの確認を繰り返すことで、リスクを最小限に抑えられます。そして、このプラグインの名前が「Contact Form by WD」であることに気づけば、笑いながらも「WDって、どこまで続くのか？」と心の中で呟く余裕も必要かもしれません。