高 8.1

WP User Manager、未認証で管理者相当の権限を取得される恐れ

CVE-2026-110523 SecPulse初出 10月21日 15:31

概要

WP User Manager は、2.9.26 より前のバージョンで、決済ゲートウェイを切断した後も有料登録の権限制限が維持されません。このため、未認証の利用者が支払いを行わずに管理者相当の権限を持つロールで登録できる恐れがあります。2.9.26 以降へ更新するとともに、最新の情報を確認してください。

AI要約

外部の AI が作成した要約です。誤りを含むことがあります。重要な判断の前に、下の原文と参照URLを確認してください。

影響パッケージ

種類	パッケージ	影響を受ける版	直った版
CVE	WP User Manager	2.9.21 以上 2.9.26 未満	2.9.26

原文の説明取得元が公開している説明をそのまま載せています (多くは英語)。

The WP User Manager WordPress plugin before 2.9.26 does not keep its paid-registration capability restrictions in force once the payment gateway is disconnected, while a published paid registration form continues to assign its configured role, allowing unauthenticated users to register and immediately obtain a privileged administrator-equivalent role without completing the payment meant to gate it.

出典: GitHub Security Advisories (Global) NVD GitHub Advisory