miniOrange SSOプラグインに権限昇格の脆弱性、修正版あり
miniOrangeのWordPress用プラグインOAuth Single Sign On-SSOの7.1.3以前に、認証なしで管理者権限を得られる脆弱性が公表されました。該当するサイトは7.1.4へ更新し、見覚えのない管理者アカウントがないかも調べてください。
急ぎ度: 至急
CVSS v3は9.8で、認証も利用者の操作も要らず、修正版7.1.4が出ているため、更新で防げる段階のいまのうちに当てるべき脆弱性です。
関係があるか
WordPressでminiOrangeのOAuth Single Sign On-SSO（OAuth Client）プラグインを入れている組織が対象です。社内ポータルやEC、会員サイトなど、外部の認証基盤とのログイン連携にこのプラグインを使っているサイトが当てはまります。
| 製品 | 影響を受ける版 | 修正版 |
|---|---|---|
| OAuth Single Sign On-SSO (OAuth Client)（miniOrange、プラグイン識別名 miniorange-login-with-eve-online-google-facebook） | 7.1.3以前 | 7.1.4 |
確かめ方
- 1WordPressの管理画面で「プラグイン」から一覧を開き、OAuth Single Sign On-SSO（OAuth Client）の版が7.1.3以前かどうかを見ます。
- 2WP-CLIが使えるなら、
wp plugin listで識別名と版をまとめて確認できます。サーバーが複数あるときは、全サイトで同じ確認をします。 - 3管理画面で無効にしているだけのプラグインも、ファイルが残っていれば版の確認対象に含めてください。
何が起きたか
WordPress用プラグインのOAuth Single Sign On-SSO（OAuth Client）に、攻撃者がサイトの管理者権限を手に入れられる脆弱性が見つかりました。管理者になれば、サイトを自由に操作できます。
分類はCWE-266（Incorrect Privilege Assignment、権限の誤った割り当て）で、影響する版は7.1.3以前です。報告者はPeter Tang氏で、Patchstackによると2026年10月14日に報告され、11月4日に同社が情報を公開しました。CVEの公開は11月6日です。
Patchstackは、不特定多数のサイトを一度に狙う大規模な攻撃で使われやすい種類の脆弱性だと説明しています。現時点で実際の悪用を示す情報は挙がっていませんが、公表から日が浅く、攻撃が始まる前に更新を済ませたい状況です。
攻撃の流れ
-
1
対象サイトを探す
インターネットに公開されたWordPressサイトから、該当プラグインを入れているものを探します。
-
2
権限付与の不備を突く
プラグインの権限の割り当てに誤りがあり、ログインしていない状態でも権限を操作できます。
-
3
管理者権限を得る
一般の利用者や未ログインの立場から、管理者になります。
-
4
サイトを掌握する
内容の改ざんや情報の閲覧、サイトの停止など、管理者にできることをすべて実行できます。
どう悪用されるか
CVSSのベクターは、ネットワーク経由（AV:N）で、攻撃の複雑さは低く（AC:L）、事前の権限（PR:N）も利用者の操作（UI:N）も要らないことを示しています。Patchstackも必要な権限を「Unauthenticated」、つまり認証なしとしています。サイトがインターネットに公開されていれば、アクセス数の多少にかかわらず狙われうる構図です。
成功したときの影響は、機密性・完全性・可用性のすべてが高です。Patchstackは「低い権限の利用者が管理者になり、完全な制御を得られる」と説明しています。管理者を奪われたサイトでは、掲載内容の書き換え、登録された利用者情報の閲覧、サイトの停止などが起こりえます。
今すぐやること
-
1
プラグインを7.1.4以降に更新する
管理画面の更新ボタンか、WP-CLIで更新します。本番を止められないサイトは、先にステージングで動作を確認し、その日のうちに本番へ反映する段取りを組みます。更新前後でSSOログインが通るかも確認してください。
wp plugin list --name=miniorange-login-with-eve-online-google-facebook --fields=name,status,version -
2
管理者アカウントを点検する
見覚えのない管理者、直近に作られたアカウント、権限が変わったアカウントがないかを見ます。更新で脆弱性は塞がりますが、更新前に作られた不正なアカウントは残ります。
wp user list --role=administrator --fields=ID,user_login,user_email,user_registered -
3
改ざんや不審な変更の跡を調べる
インストールした覚えのないプラグインやテーマ、変更された投稿・固定ページ、管理者の不審なログイン履歴がないかを確認します。見つかったら、該当アカウントのパスワードとセッションを無効にし、サーバーのログも保全して調査します。
-
4
自社のWordPressを棚卸しする
情シスが把握していないサイト、たとえばキャンペーン用や子会社のサイトでも、同じプラグインが入っていないかを確認します。外部の制作会社が運用しているサイトは、版を問い合わせてください。
すぐ更新できないとき
公式の回避策は示されていません。Patchstackも、この脆弱性は性質上、同社の保護ルールでは防げないと説明しています。どうしても今すぐ更新できないときは、つなぎとしてプラグインを無効にすれば、この脆弱性の経路は塞げます。ただしSSOでのログインが止まるため、通常のID・パスワードで入れる管理者アカウントを先に用意してください。
背景
OAuth Single Sign On-SSO（OAuth Client）は、WordPressのログインを外部の認証基盤（IdP）と連携させるプラグインです。社内のアカウントでWordPressサイトに入れるようにする用途が中心で、ログインの入口そのものを担います。
今回の脆弱性は、誰にどの権限を与えるかという割り当ての処理にあります。ログイン連携の部品は、利用者に管理者・編集者などの役割を割り当てる処理と隣り合っています。そこに不備があると、パスワードの強さやアクセス制限があっても、管理者権限そのものが奪われかねません。SSOに任せているサイトほど、通常のログイン画面に対する防御策が効かない点にも注意が要ります。
よくある質問
Q.Patchstackの優先度は「Medium」なのに、CVSSは9.8です。どちらを見ればよいですか。
まだ分かっていないこと
- 権限付与のどの処理に不備があるかなど、技術的な詳細は公表されていません。
- SSOの設定をしていないサイトや、プラグインを無効にしているサイトでも同じように悪用できるかは示されていません。
この記事は、取得元の公開情報をもとに、人が監修しながらAIを活用して執筆しています。執筆と監修は佐々木 航が担い、公開したあとも人が内容を確認しています。誤りに気づいたときは直し、記事の末尾に訂正の行を残します。対応を決める前に、下の原文と参照先も確認してください。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 修正版 |
|---|---|---|---|
| miniOrange | OAuth Single Sign On – SSO (OAuth Client) |
7.1.3 以前 |
7.1.4 |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
Incorrect Privilege Assignment vulnerability in miniOrange OAuth Single Sign On – SSO (OAuth Client) miniorange-login-with-eve-online-google-facebook allows Privilege Escalation.This issue affects OAuth Single Sign On – SSO (OAuth Client): from n/a through 7.1.3.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web patchstack.com
- web nvd.nist.gov
- web github.com