Userplaceに認証なしで管理者作成の脆弱性、修正版なし
WordPressプラグインUserplaceの1.2.0以前に、ログインなしで管理者アカウントを作られ、サイトを乗っ取られる脆弱性が見つかりました。修正版は確認されていないため、使っているサイトは無効化し、不審な管理者がいないか調べてください。
急ぎ度: 至急
CVSS v3が9.8で認証も利用者の操作も要らず、しかも公開時点で修正版が確認されていないためです。
関係があるか
WordPressでプラグインUserplaceを有効にしているサイトが対象です。名前から、会員登録・購読・コンテンツ制限・決済に使っているサイトが多いと見られます。
| 製品 | 影響を受ける版 | 修正版 |
|---|---|---|
| Userplace（プラグイン名 userplace-member-subscription-restriction-payments） | 1.2.0以前のすべての版 | 修正版は確認されていません |
確かめ方
- 1WordPressの管理画面で、プラグインの一覧にUserplaceがあるか、有効になっているかを見ます。
- 2サーバーに入れるなら、wp-content/pluginsの下にuserplace-member-subscription-restriction-paymentsのフォルダーがあるかを確かめます。
- 3WP-CLIを使っているサイトでは、後述のコマンドで版と状態を一覧にできます。
- 4複数のサイトを預かる制作会社や保守担当は、各サイトに同じプラグインが入っていないかを横並びで確認します。
何が起きたか
WordPressのプラグインUserplaceに、外部の誰でもサイトに管理者アカウントを作れてしまう脆弱性があります。サイトの設定値を勝手に書き換えることもでき、最終的にサイト全体の乗っ取りにつながります。
原因は、ログインしていない人にも開かれているAJAX処理で、権限の確認が行われていないことです。この処理を守るはずのnonce（使い捨ての確認用の値）も、外部から見える状態で公開されていました。そのため、nonceは歯止めとして働きません。分類はCWE-269です。
WPScanは2026年11月6日にこの脆弱性を公開し、CVEの公開は11月8日です。WPScanの記載では、報告者はNaoki Kawahigashi氏で、「No known fix」、つまり修正版は確認されていません。
攻撃の流れ
-
1
未認証で要求
ログインしていない外部の者が、公開されているAJAX処理に要求を送ります。
-
2
権限確認なし
処理側で権限が確認されず、nonceも公開されているため、要求がそのまま通ります。
-
3
管理者を作成
管理者アカウントの作成、またはサイト設定値の書き換えが行われます。
-
4
サイト乗っ取り
管理権限を得た者が、サイトの内容や機能を自由に操作できる状態になります。
どう悪用されるか
ログインは要りません。インターネット越しにサイトへ到達できれば試せる状態で、利用者に何かを操作させる必要もありません。CVSSのベクターではネットワーク経由（AV:N）、条件の複雑さは低（AC:L）、権限不要（PR:N）、利用者の操作不要（UI:N）です。
悪用されると、攻撃者が管理者アカウントを作成するか、サイトの設定値を任意に書き換えます。機密性・完全性・可用性のいずれも高い影響とされ、サイトの改ざん、会員情報の閲覧、マルウェアの設置まで見込まれます。
今すぐやること
-
1
Userplaceの有無と版を確認する
管理するすべてのWordPressサイトで、Userplaceが入っているかを確かめます。1.2.0以前なら対象です。
wp plugin list --fields=name,status,version -
2
プラグインを無効化し、削除する
修正版が確認されていないため、使い続けて守る手段がありません。サイトとデータベースのバックアップを取ってから無効化し、使わないなら削除します。会員機能や決済が止まるので、代わりの手段は別に用意します。
-
3
侵害の跡を調べる
管理者の一覧に見覚えのないアカウントがないか、作成日時が11月6日以降に集中していないかを見ます。Webサーバーのアクセスログで、admin-ajax.phpへの不審なPOSTが続いていないかも確認します。見つかったら、全管理者のパスワード変更と、必要に応じてバックアップからの復旧を検討します。
wp user list --role=administrator --fields=ID,user_login,user_email,user_registered -
4
ベンダーの告知を追い、代替を検討する
WordPress.orgのプラグインページとWPScanの掲載を定期的に見て、修正版が出たかを確認します。出るまでは、同じ用途の別プラグインへの移行も選択肢です。修正版が出たら、すぐに更新します。
修正版がないあいだのつなぎ
確実な回避策はプラグインの無効化です。事情で止められないときは、サイトにIP制限やBasic認証をかけて、不特定多数から届かないようにします。admin-ajax.php全体を遮断する方法は、ほかのプラグインやテーマの機能も止めるため、勧められません。
背景
Userplaceは、WordPressに会員登録、購読、コンテンツの閲覧制限、決済を足すプラグインと見られます。ユーザーの作成や権限の付与を担う部品なので、そこで権限の確認が抜けると、管理者アカウントの作成に直結します。会員情報や課金の情報を扱う構成のサイトでは、乗っ取られたときの影響がそのぶん大きくなります。
WPScanのこの脆弱性のページには、TrueBookerやFlex Store Users、CatalogXなど、認証なしの権限昇格を扱う別のプラグインの項目も並んでいます。会員やユーザーを管理するプラグインでは、権限昇格の報告が続いているのが現状です。
よくある質問
Q.無効化すると、会員向けのサイトはどうなりますか。
Q.不審な管理者アカウントが見つからなければ、被害はないと考えてよいですか。
まだ分かっていないこと
- 修正版の提供予定時期は示されていません。
この記事は、取得元の公開情報をもとに、人が監修しながらAIを活用して執筆しています。執筆と監修は佐々木 航が担い、公開したあとも人が内容を確認しています。誤りに気づいたときは直し、記事の末尾に訂正の行を残します。対応を決める前に、下の原文と参照先も確認してください。
影響パッケージ
| パッケージ | 影響を受ける版 → 修正版 | |
|---|---|---|
| CVE の記録Userplace |
1.2.0 以前→ 記載なし |
記載なし |
この記録には修正版の版が載っていません。修正版の有無と版は、本文か参照URLのベンダーの勧告で確かめてください。
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
The Userplace WordPress plugin through 1.2.0 does not perform authorization checks on an AJAX action available to unauthenticated users and publicly exposes the nonce that protects it, allowing unauthenticated attackers to create an administrator account or write arbitrary site options, leading to full site takeover.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web contact@wpscan.com
- web nvd.nist.gov
- web wpscan.com
- web github.com