Datawiza Proxy Auth Pluginで管理者奪取、修正版あり
WordPressのプラグインDatawiza Proxy Auth Pluginに、ログインしていない第三者が管理者になれる脆弱性が見つかりました。リバースプロキシ経由で認証を任せている企業のWordPressサイトが対象で、修正版は1.1.1です。まず導入の有無と版を確認し、該当すれば更新してください。
急ぎ度: 至急
CVSS v3は9.8で、認証なしにネットワーク越しで管理者権限を得られるうえ、修正版1.1.1がすでに出ているためです。
関係があるか
Datawiza Proxy Auth Pluginを入れたWordPressサイトが対象です。リバースプロキシが渡すヘッダーでログインを制御している環境は、サイトを社外に公開しているかどうかにかかわらず確認が必要です。
| 製品 | 影響を受ける版 | 直った版 |
|---|---|---|
| Datawiza Proxy Auth Plugin（WordPressプラグイン） | 1.1.0以上、1.1.1未満（脆弱性の説明文では「1.1.1より前」と書かれています） | 1.1.1 |
確かめ方
- 1WordPressの管理画面で「プラグイン」を開き、Datawiza Proxy Auth Pluginが入っているかと版を確認します。
- 2WP-CLIが使える環境では、サーバー上でプラグインの一覧と版を表示して確認できます。
- 3複数のサイトを運用している場合は、本番だけでなく、検証用や子会社・部門ごとのWordPressも洗い出します。
- 4有効化していないプラグインも、版が古いまま残っていないか見ておきます。
何が起きたか
Datawiza Proxy Auth Pluginに、ログインしていない第三者がWordPressの管理者アカウントを作成し、そのままログインできる脆弱性が見つかりました。成功すれば、サイトの全権限を握られます。
このプラグインは、リバースプロキシが付けるユーザー識別とロールのHTTPヘッダーを信頼して、WordPress側のログインを処理します。問題は、そのヘッダーが本当に信頼できるリバースプロキシから届いたものかを、プラグインが確認していなかったことです。CWEの分類はCWE-269（不適切な権限管理）です。
1.1.1で修正されました。公開日は2026年10月25日で、WPScanの脆弱性情報とGitHubのアドバイザリが出ています。
攻撃の流れ
-
1
到達できる
ネットワーク上の第三者が、プラグインを入れたWordPressに接続できる状態です。
-
2
ヘッダーを信頼
プラグインが、送信元を確認しないままユーザー識別とロールのヘッダーを受け入れます。
-
3
管理者を作成
ログインしていない相手のために、管理者アカウントが作られます。
-
4
管理者でログイン
作られたアカウントで認証され、サイトを自由に操作できる状態になります。
どう悪用されるか
悪用に認証は要らず、利用者の操作も必要ありません。ネットワーク越しに対象のWordPressへ届けば成立し、複雑な条件もありません。CVSSのベクターでは、攻撃元区分がネットワーク、複雑さが低、必要な権限なし、利用者の関与なしです。
悪用されると、管理者権限を握られます。機密性・完全性・可用性のすべてで影響が最大と評価されており、投稿や設定の改ざん、利用者情報の閲覧、別のプラグインやテーマの追加による足場づくりまでが現実的な被害として想定されます。
今すぐやること
-
1
導入の有無と版を確認する
管理画面かWP-CLIで、Datawiza Proxy Auth Pluginの有無と版を確認します。
wp plugin list --fields=name,status,version -
2
修正版に更新する
該当する版が見つかったら、1.1.1に更新します。本番へ入れる前に、リバースプロキシ経由のログインが正常に動くかを検証環境で確認すると安心です。
-
3
管理者アカウントを棚卸しする
身に覚えのない管理者や、最近作成されたアカウントがないかを確認します。更新しても、更新前に作られたアカウントは残ります。見つけたら、削除の前にログを保全します。
wp user list --role=administrator --fields=ID,user_login,user_registered -
4
不審な変更がないか点検する
未知のプラグインやテーマの追加、設定やコンテンツの変更、Webサーバーのアクセスログの不審な記録を調べます。不審な点があれば、管理者のパスワードを変更し、インシデントとして社内の手順に沿って扱います。
すぐ更新できないとき
すぐに更新できないときは、プラグインを無効化します。無効化できない場合は、WordPressへの接続をリバースプロキシからのものだけに限定します。ファイアウォールやセキュリティグループで、プロキシ以外からの直接アクセスを遮断してください。あわせて、プロキシの手前でユーザー識別とロールのヘッダーを外部から受け取らない設定にします。いずれも一時しのぎで、修正版への更新が根本的な対策です。
背景
このプラグインは、WordPressのログイン処理を、手前に置いたリバースプロキシに任せる構成で使われます。社内ポータルや会員向けサイトで、シングルサインオンの仕組みとWordPressをつなぐ役割です。プロキシが認証を済ませ、結果をヘッダーでWordPressへ渡す形のため、ヘッダーの送り主を確かめる処理が実質的な認証そのものになります。
このように、上流の装置が付けたヘッダーを無条件に信じる設計は、アプリケーションへプロキシを経由せずに届く経路が一つでもあると破られます。今回の脆弱性は、まさにその送り主の確認が欠けていた例です。管理者を作成してログインするところまで認証なしで届くため、被害はサイト全体の乗っ取りになります。
よくある質問
Q.社内ネットワークからしか届かないWordPressでも、更新を急ぐべきですか。
まだ分かっていないこと
- 実際の攻撃で悪用された事例があるかは公表されていません。悪用の確認が出たときは、ベンダーの告知やGitHubのアドバイザリに反映されるとみられます。
- 影響する版の範囲は、説明文が「1.1.1より前」、パッケージ情報が「1.1.0以上、1.1.1未満」と食い違っています。1.1.0より前の版が影響を受けるかは、ベンダーの告知で確認が必要です。
- 侵害された場合にログへ残る痕跡や、検知に使える具体的な指標は公表されていません。
この記事は、取得元の公開情報をもとに生成 AI で作成しています。誤りを含むことがあります。対応を決める前に、下の原文と参照先を確認してください。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 直った版 |
|---|---|---|---|
| CVE | Datawiza Proxy Auth Plugin |
1.1.0 以上 1.1.1 未満 |
1.1.1 |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
The Datawiza Proxy Auth Plugin WordPress plugin before 1.1.1 does not verify that the user-identity and role HTTP request headers it trusts originate from a trusted reverse proxy, allowing unauthenticated attackers to create and authenticate as a WordPress administrator.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web contact@wpscan.com
- web nvd.nist.gov
- web wpscan.com
- web github.com