MDJM Event Managementの脆弱性、管理者ロール削除
WordPressプラグインのMDJM Event ManagementとMobile Events Manager（1.7.8.7以前）に、管理者を含むロールを削除され、全ユーザーの権限が失われる脆弱性があります。使っているサイトは版を確認し、修正版の有無をベンダーの告知で調べ、出ていなければ無効化してください。
急ぎ度: 至急
CVSS v3は9.1で認証なしに悪用でき、WPScanの記録に悪用情報への参照が付いており、修正版の記載も見つかっていないためです。
関係があるか
MDJM Event ManagementかMobile Events Managerを有効にしているWordPressサイトが対象です。イベントの予約や顧客管理をWordPress上で運用している事業者のサイトが当てはまります。
| 製品 | 影響を受ける版 | 修正版 |
|---|---|---|
| MDJM Event Management | 1.7.8.7以前 | 修正版は確認できていません。WordPress.orgのプラグインページで最新版と更新履歴を確認してください |
| Mobile Events Manager | 1.7.8.7以前 | 修正版は確認できていません。WordPress.orgのプラグインページで最新版と更新履歴を確認してください |
確かめ方
- 1WordPressの管理画面で、プラグイン一覧に2つのプラグインのどちらかが入っていて有効になっていないか見ます。
- 2WP-CLIが使えるサーバーでは、
wp plugin list --fields=name,version,statusで名前と版、状態を一覧できます。 - 3複数サイトを管理している場合は、ステージング環境や検証用サイトにも同じプラグインが入っていないかを確認します。
- 4管理者ロールがまだ存在するかは
wp role listで確認できます。administratorが一覧に無ければ、すでに削除されています。
何が起きたか
MDJM Event ManagementとMobile Events Managerに、WordPressのロールを外部から削除されてしまう脆弱性が見つかりました。削除の対象には管理者ロールも含まれ、削除されるとサイトの全ユーザーが権限を失い、その状態は元に戻りません。
プラグインは、ロール削除のリクエストをページが読み込まれるたびに処理します。しかも、処理の前に権限の確認（capability check）も、リクエストの正当性を確かめるnonceの検証もありません。
ロールにユーザーが割り当てられていれば削除させない保護の仕組みも用意されています。ただ、この保護が読むリクエストの部分と、削除するロールを選ぶ部分が食い違っているため、保護が働きません。分類はCWE-862（認可の欠如）です。
公表は2026年11月6日で、きょうの時点で修正版の記載は確認できていません。
攻撃の流れ
-
1
サイトへ到達
対象プラグインが有効なサイトに、外部から通常のリクエストを送ります。
-
2
処理が自動で動く
プラグインがページ読み込みのたびにロール削除の要求を処理します。
-
3
保護をすり抜ける
権限確認とnonceが無く、保護の確認も別の値を見ているため、削除が通ります。
-
4
ロールが消える
管理者を含むロールが削除され、全ユーザーの権限が恒久的に失われます。
どう悪用されるか
悪用にログインは要りません。ネットワーク越しにサイトへ届けば足り、利用者に何かを操作させる必要もありません。CVSSでは攻撃の複雑さが低いとされ、特別な環境を整えなくても成立する想定です。
成功すると、管理者を含む任意のロールが削除されます。管理画面からプラグインの更新や設定変更ができなくなり、投稿や注文の管理、ユーザーの管理も止まります。CVSSの評価では、情報の漏えいは想定されておらず、データの改ざんとサイトの可用性への影響が大きいとされています。
今すぐやること
-
1
データベースのバックアップを取る
ほかの作業より先に、直近のバックアップがあることを確認し、無ければ今取ります。ロールはデータベースに保存されているため、削除されたときの復旧はバックアップが頼りです。
-
2
対象プラグインの有無と版を確認する
2つのプラグインが入っていて、版が1.7.8.7以前かを確認します。入っていなければ対応は不要です。
wp plugin list --fields=name,version,status -
3
修正版の有無をベンダーの告知で確認する
WordPress.orgのプラグインページと開発元の告知で、1.7.8.7より新しい版が出ているかを調べます。出ていれば、検証環境で動作を確かめたうえで本番を更新します。
-
4
修正版が無ければプラグインを無効化する
更新できる版が見つからないあいだは、使わない状態にします。予約や顧客管理の機能が止まるため、業務への影響は事前に関係者へ伝えておきます。
-
5
ロールが残っているかを調べる
administratorを含め、本来あるはずのロールが一覧にあるかを見ます。欠けていれば、すでに悪用された可能性があります。バックアップから復元し、ほかの変更が無いかも点検してください。
wp role list
修正版がないあいだのつなぎ
修正版が無いあいだは、プラグインを無効化するのがもっとも確実です。業務上すぐに止められない場合は、サイト全体にBASIC認証をかける、アクセス元のIPアドレスを制限するなど、外部から到達できる範囲を狭めてつなぎにします。いずれも一時的な措置で、修正版を適用するまで続けてください。
背景
MDJM Event ManagementとMobile Events Managerは、イベントの予約、顧客、スケジュールの管理をWordPress上で行うためのプラグインです。WordPressでは、管理者・編集者といったロールごとに、できる操作が割り当てられています。ロールの情報はデータベースに保存されるので、プラグインが一度削除すれば、プラグインを止めても自動では戻りません。
この脆弱性は、重い処理を呼ぶ前に権限を確認していないことが原因です。同種の問題は、ページ読み込みのたびに動く処理を持つプラグインで起こりやすく、今回はそこに保護の確認の食い違いが重なりました。権限確認があれば防げた構造です。
よくある質問
Q.ロールが削除されたあとで、プラグインを無効化すれば元に戻りますか。
Q.プラグインが入っているだけで、有効にしていないサイトも危険ですか。
この記事は、取得元の公開情報をもとに、人が監修しながらAIを活用して執筆しています。執筆と監修は佐々木 航が担い、公開したあとも人が内容を確認しています。誤りに気づいたときは直し、記事の末尾に訂正の行を残します。対応を決める前に、下の原文と参照先も確認してください。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 修正版 |
|---|---|---|---|
| https://wordpress.org/plugins | MDJM Event Management |
1.7.8.7 以前 |
— |
| https://wordpress.org/plugins | Mobile Events Manager |
1.7.8.7 以前 |
— |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
The MDJM Event Management and Mobile Events Manager WordPress plugins through 1.7.8.7 act on a role deletion request on every page load with no capability check and no nonce, and the guard meant to protect roles that have users assigned reads a different part of the request from the one that selects what is deleted, allowing unauthenticated attackers to remove any WordPress role including administrator, which permanently strips every user of their capabilities.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web contact@wpscan.com
- web nvd.nist.gov
- web wpscan.com
- web github.com