placesterに認証なしでアカウント乗っ取りの脆弱性、修正版なし
WordPressプラグインplacesterに、ログインなしで管理者のメールアドレスを書き換えられ、アカウントを奪われる脆弱性があります。修正版が確認されていないため、該当サイトはプラグインを無効化し、管理者のメールアドレスを点検してください。
急ぎ度: 至急
CVSS v3は9.8で、認証なしにネットワーク越しで管理者アカウントを奪えるうえ、WPScanが修正版なし（No known fix）と記載しているためです。
関係があるか
プラグインplacester（管理画面での表示名はReal Estate Website Builder）を有効にしているWordPressサイトが対象です。不動産サイトの構築に使われているプラグインなので、物件情報を載せている会社のサイトを先に調べてください。
| 製品 | 影響を受ける版 | 修正版 |
|---|---|---|
| placester（Real Estate Website Builder） | 1.4.3以前 | 修正版は確認されていません。WPScanは修正版なし（No known fix）と記載しています |
確かめ方
- 1WordPressの管理画面でプラグイン一覧を開き、Real Estate Website Builder（スラッグはplacester）が入っているか、版が1.4.3以前かを確認する。
- 2複数サイトを運用しているときは、WP-CLIで全サイトの導入状況を一括で確認する。
- 3有効化していないプラグインも一覧に残っていないか見る。使っていないなら削除の対象にする。
何が起きたか
WordPressプラグインplacesterの1.4.3以前に、ログインしていない第三者が任意のユーザーのメールアドレスを書き換えられる脆弱性があります。管理者のアカウントも例外ではなく、書き換えたあとは標準のパスワード再設定の流れでアカウントを奪われます。
アカウント情報を更新するAJAX処理に、権限の確認、nonceの検証、更新対象が本人かどうかの確認のいずれもありません。分類はCWE-269で、WPScanは検証済み（Verified）として載せています。
WPScanが公開したのは2026年11月3日で、CVEとしての公表は11月6日です。公開直後のため、修正版はまだ出ていません。
攻撃の流れ
-
1
外部から到達
ログインしていない第三者が、サイトのAJAX処理にインターネット越しでアクセスします。
-
2
メールを書き換え
確認が行われないため、管理者を含む任意のユーザーのメールアドレスを攻撃者のものに変えられます。
-
3
パスワード再設定
標準のパスワード再設定を実行すると、再設定の案内が攻撃者に届きます。
-
4
アカウント奪取
新しいパスワードで管理者としてログインし、サイトを操作できる状態になります。
どう悪用されるか
認証は不要です。ネットワーク経由で到達でき、攻撃の複雑さは低く、サイトの利用者や管理者の操作も要りません。CVSSのベクトルでは、機密性・完全性・可用性への影響がすべて高と評価されています。
被害の中心は、管理者アカウントを奪われることです。管理者になれば、サイトの内容の改ざん、設定の変更、ほかのユーザー情報の閲覧といった操作が可能です。標準のパスワード再設定の流れを使うため、パスワードの強さでは防げません。
今すぐやること
-
1
プラグインの導入状況を調べる
運用しているすべてのWordPressサイトで、placester（Real Estate Website Builder）が入っているか、版が1.4.3以前かを確認します。
wp plugin list --fields=name,status,version -
2
プラグインを無効化する
修正版が確認されていないため、更新で解消する手段がありません。該当サイトでは無効化し、使っていなければ削除します。物件表示などで使っている場合は、代わりの表示方法への移行を計画します。
-
3
ユーザーのメールアドレスを点検する
管理者を含む全ユーザーのメールアドレスを見て、身に覚えのない変更がないかを確認します。見つけたら元に戻し、そのアカウントのパスワードを変更して、ログイン中のセッションを破棄します。
-
4
侵害の跡を調べる
公開が11月3日なので、それ以降のアクセスログとパスワード再設定の履歴を確認します。身に覚えのない管理者アカウント、導入した覚えのないプラグインやテーマ、書き換えられたページがないかも見ます。
-
5
修正版の公開を確かめる
開発元の告知とWPScanの該当ページを定期的に確認し、修正版が出たら適用します。それまでは無効化したままにします。
修正版がないあいだのつなぎ
業務上すぐに無効化できないときは、つなぎとして次の対策を入れます。WAFで、このプラグインのAJAX処理への未認証のリクエストを遮断します。あわせて、管理画面とログイン画面（wp-adminとwp-login.php）へのアクセスを接続元IPで制限します。アカウントを奪われても管理画面に入りにくくなりますが、メールアドレスの書き換え自体は防げないため、無効化までの短い期間の措置にとどめてください。
背景
placesterは、不動産会社のサイトに物件情報を表示するためのWordPressプラグインで、アカウント情報の更新機能を持っています。そのため、権限を確認しないまま更新できると、サイトの管理者権限に直結します。
パスワード再設定は、メールアドレスを持つ人が本人だという前提で成り立っています。そのメールアドレスを他人が書き換えられるのは、郵便局の転送届を第三者が勝手に出せる状態に近く、鍵の受け取り先を奪われるのと同じです。WPScanの関連一覧には、パスワード再設定まわりの確認不足による未認証の権限昇格が、Easy Form BuilderやIMITHEMES Listingなど別のプラグインでも載っています。
よくある質問
Q.強いパスワードを設定していれば防げますか。
Q.プラグインを無効化しただけで、点検は不要ですか。
まだ分かっていないこと
- 修正版の公開時期は公表されていません。
この記事は、取得元の公開情報をもとに、人が監修しながらAIを活用して執筆しています。執筆と監修は佐々木 航が担い、公開したあとも人が内容を確認しています。誤りに気づいたときは直し、記事の末尾に訂正の行を残します。対応を決める前に、下の原文と参照先も確認してください。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 修正版 |
|---|---|---|---|
| CVE | placester |
1.4.3 以前 |
— |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
The placester WordPress plugin through 1.4.3 does not perform any capability, nonce or ownership check on an AJAX action that updates account details, allowing unauthenticated attackers to overwrite any user's email address, including an administrator's, and take over the account through the standard password-reset flow.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web contact@wpscan.com
- web nvd.nist.gov
- web wpscan.com
- web github.com