EASY-JS-WPAPI Clientに管理者奪取の脆弱性、修正版なし
WordPressプラグインEASY-JS-WPAPI Client HANDLEの2.0以下で、認証なしに管理者資格情報を抜かれ、サイトを乗っ取られます。修正版は見つかっておらず、該当サイトはプラグインの無効化と資格情報の変更を急いでください。
急ぎ度: 至急
CVSS v3は9.8で、認証なしにネットワーク越しで管理者権限を奪えるうえ、修正版が知られていないため、該当サイトでは使用停止と資格情報の変更が先に必要です。
関係があるか
WordPressにEASY-JS-WPAPI Client HANDLE for the WordPress REST-APIを入れているサイトが対象です。プラグインを有効にしているかどうかを問わず、インストールされている2.0以下の版が該当します。
| 製品 | 影響を受ける版 | 修正版 |
|---|---|---|
| EASY-JS-WPAPI Client HANDLE for the WordPress REST-API（WordPressプラグイン） | 2.0以下のすべての版 | なし（修正版は知られていません） |
確かめ方
- 1WordPressの管理画面でプラグイン一覧を開き、EASY-JS-WPAPI Client HANDLE for the WordPress REST-APIが入っていないか探します。脆弱性データベースのWPScanでは同じ脆弱性がnode-wpapi-authという名前でも表示されているため、この名前も併せて探してください。
- 2見つかった場合は版を確認します。2.0以下なら該当します。
- 3複数のサイトを運用している場合は、サイトごとに同じ確認を行います。WP-CLIが使える環境では、次のコマンドで一覧を出せます。
何が起きたか
WordPressプラグインのEASY-JS-WPAPI Client HANDLE for the WordPress REST-APIで、ログインしていない第三者がサイトの管理者資格情報を入手し、管理者として操作できてしまいます。
このプラグインは、保存している管理者資格情報が未認証の利用者に開示されるのを防いでいません。加えて、認証の検証も正しく行っていません。分類は認証の不備（CWE-287）です。
WPScanは認証バイパスとして登録し、検証済みとしています。報告者はNaoki Kawahigashi氏で、公表は2026年11月6日です。CVEの公開は11月9日で、CVSS v3は9.8（critical）です。
攻撃の流れ
-
1
外部から到達
攻撃者がログインせずに、プラグインを入れたWordPressサイトへ接続します。
-
2
資格情報の取得
プラグインが保存している管理者資格情報が、認証のない利用者に開示されます。
-
3
認証の回避
認証の検証が不十分なため、管理者としての操作が通ってしまいます。
-
4
サイトの掌握
管理者の全権限を得て、サイトの設定・内容・利用者情報を扱えるようになります。
どう悪用されるか
ログインは要りません。ネットワーク越しにサイトへ到達できれば試みることができ、利用者の操作も要りません。CVSSの評価でも攻撃の複雑さは低く、特別な条件は必要とされていません。
悪用されると、管理者資格情報が漏れ、サイトに対する完全な管理者アクセスを得られます。機密性・完全性・可用性のいずれも影響は大きいと評価されています。
今すぐやること
-
1
プラグインの有無と版を確認する
管理画面のプラグイン一覧か、WP-CLIで導入状況と版を確かめます。node-wpapi-authという名前で出ていないかも見ます。
wp plugin list -
2
該当プラグインを無効化し、使用をやめる
修正版が見つかっていないため、更新では直せません。無効化したうえで、削除するか、連携を別の手段に切り替えます。
-
3
管理者資格情報を変更する
プラグインに保存されていた資格情報は、すでに漏れた前提で扱います。管理者パスワードを変更し、同じパスワードを使い回している他のサービスも変更します。ログイン中のセッションも破棄します。
-
4
侵害の跡を調べる
身に覚えのない管理者アカウントの追加、権限の変更、プラグインやテーマの追加・書き換え、不審な管理画面ログインがないかを、WordPressの利用者一覧とアクセスログで見ます。
-
5
ベンダーの告知を確かめる
プラグインの配布元の告知と、WPScanの該当ページを定期的に見ます。修正版が出た場合も、資格情報の変更と侵害の確認を済ませてから再導入を判断してください。
修正版がないあいだのつなぎ
修正版が出るまでのつなぎとして、プラグインを無効化し、削除するか使わない運用に切り替えます。これでプラグインを通じた攻撃経路は断てますが、すでに漏れた資格情報は無効になりません。無効化とあわせて、管理者資格情報の変更が必要です。
背景
このプラグインは、名前からするとWordPressのREST-APIにクライアント側から接続するための連携用です。仕組み上、管理者の資格情報を保存して使っており、その保管と認証の確認が破られると、サイトの管理者権限にそのまま直結します。
WordPressの管理者は、利用者の管理だけでなく、プラグインやテーマの導入・編集もできます。そのため、管理者資格情報の漏えいは、サイトの内容を読まれるだけにとどまらず、サイト上で動くコードを変えられる事態につながりかねません。
よくある質問
Q.管理者アカウントの不審な操作が見つかったら、バックアップから戻せば安全ですか。
まだ分かっていないこと
- 実際の攻撃で悪用されているかどうかは公表されていません。
- 資格情報がどの経路で開示されるかや、保存されている資格情報の種類は公表されていません。
この記事は、取得元の公開情報をもとに、人が監修しながらAIを活用して執筆しています。執筆と監修は佐々木 航が担い、公開したあとも人が内容を確認しています。誤りに気づいたときは直し、記事の末尾に訂正の行を残します。対応を決める前に、下の原文と参照先も確認してください。
影響パッケージ
| パッケージ | 影響を受ける版 → 修正版 | |
|---|---|---|
| CVE の記録EASY-JS-WPAPI Client HANDLE for the WordPress REST-API |
2.0 以前→ 記載なし |
記載なし |
| CVE の記録EASY-JS-WPAPI Client HANDLE for the WordPress REST-API |
2.0 以前→ 記載なし |
記載なし |
この記録には修正版の版が載っていません。修正版の有無と版は、本文か参照URLのベンダーの勧告で確かめてください。
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
The EASY-JS-WPAPI Client HANDLE for the WordPress REST-API WordPress plugin through 2.0 does not prevent the administrator credentials it stores from being disclosed to unauthenticated users and does not correctly verify authentication, allowing unauthenticated attackers to obtain administrator credentials and gain full administrator access to the site.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web contact@wpscan.com
- web nvd.nist.gov
- web wpscan.com
- web github.com