本文へ移動
English version →
ログイン 新規登録
JA EN FR
SecPulse
重大 9.1 急ぎ度: 早めに

Popup Builder、未認証で全ポップアップを削除される脆弱性

WordPressのプラグインPopup Builderの4.4.5以下に、認証なしで公開中のポップアップを全件ゴミ箱へ送れる脆弱性が公表されました。該当する版を使うサイトは、修正版の有無を確認して更新し、できなければ無効化します。

CVE-2026-89270 公開 更新 執筆・監修: 佐々木 航 人が監修しながらAIを活用して執筆
画像は生成 AI で作成したイメージです

急ぎ度: 早めに

CVSS v3は9.1で認証なしにネットワークから悪用できますが、影響はポップアップの削除による表示停止と改ざんにとどまり、現時点ではKEVへの掲載やEPSSの値は確認できないためです。

関係があるか

WordPressでPopup Builderを入れている企業サイトやキャンペーンサイトが対象です。マーケティング部門や制作会社が導入したプラグインは、情シスが把握していないことがあります。

製品影響を受ける版修正版
Popup Builder-Create highly converting, mobile friendly marketing popups.（WordPressプラグイン、スラッグはpopup-builder） 4.4.5以下のすべての版 4.4.5より新しい版。版番号はプラグインの配布ページとベンダーの告知で確認してください

確かめ方

  1. 1WordPressの管理画面でプラグイン一覧を開き、Popup Builderが有効か、版が4.4.5以下かを見ます。
  2. 2WP-CLIが使えるサーバーでは、下記のコマンドで版を確認できます。
  3. 3制作会社や別部署が運用しているサイトも含め、自社ドメインのWordPressを洗い出します。

何が起きたか

Popup Builderに、認証なしで公開中のポップアップをサイト上の全件ゴミ箱へ移せる脆弱性があります。2026年10月31日に公表され、4.4.5以下のすべての版が対象です。

原因は、ポップアップをゴミ箱へ移す処理が、操作する利用者に権限があるかを確認していないことです（CWE-862）。

これに加えて、ポップアップを探す処理にも別の不具合があります。特定のパラメータが付くと、公開中のポップアップがすべて見つからない扱いになります。その結果、ゴミ箱へ移す処理が1件ではなく全件に及びます。

CVSSのベクターでは、情報の漏えいは想定されていません。評価が高いのは、データの改ざんと可用性への影響が大きいためです。

攻撃の流れ

  1. 1

    認証なしで要求

    ログインしていない第三者が、対象サイトにHTTPのGET要求を1回送ります。

  2. 2

    権限確認を素通り

    ゴミ箱へ移す処理が利用者の権限を確認せずに実行されます。

  3. 3

    全件が対象に

    ポップアップを探す処理の不具合により、公開中のものすべてが処理の対象になります。

  4. 4

    全ポップアップが非表示

    公開中のポップアップがゴミ箱へ移り、サイト上に表示されなくなります。

公開されている情報をもとにした流れの例です。

どう悪用されるか

悪用にログインは要りません。インターネットから対象サイトに到達できれば、利用者の操作を待たずに、GET要求1回で成立します。

悪用されると、公開中のポップアップがすべてゴミ箱に移ります。お知らせ、キャンペーン告知、メール登録の案内など、ポップアップに載せていた表示が一斉に消えます。サイトそのものが止まるわけではありません。

今すぐやること

  1. 1

    使っている版を確認する

    管理画面かWP-CLIでPopup Builderの版を確認します。4.4.5以下なら対象です。

    wp plugin get popup-builder --field=version
  2. 2

    修正版に更新する

    プラグインの配布ページとベンダーの告知で、4.4.5より新しい版が出ているかを確認し、出ていれば更新します。本番に当てる前に、テスト環境で表示を確かめておくと安心です。

  3. 3

    更新できないなら無効化する

    修正版が見当たらない場合や、すぐ更新できない場合は、次の回避策のとおり対応します。

  4. 4

    ポップアップの状態を確認する

    管理画面のポップアップ一覧で、公開中だったものがゴミ箱に入っていないかを見ます。身に覚えのない削除があれば、アクセスログも確認します。

修正版がないあいだのつなぎ

すぐに更新できないときは、Popup Builderを無効化します。ポップアップは表示されなくなりますが、全件を削除される事態は避けられます。WAFを使っている場合は、ベンダーや提供元の告知に沿って、該当する要求を遮断するルールが出ていないかを確認してください。

背景

Popup Builderは、WordPressのサイトにお知らせやキャンペーン、メール登録の案内などをポップアップで出すプラグインです。制作や販促の担当者が管理画面から手軽に追加できるため、情シスの管理台帳に載らないまま動いているサイトもあります。

今回の脆弱性は、権限確認の欠落と、全件を対象にしてしまう別の不具合が重なっている点に特徴があります。1件を消すはずの操作が、サイト上のポップアップすべてに及びます。ポップアップを同意の取得やお知らせの掲示に使っているサイトでは、表示が消えたことに気づくのが遅れるおそれがあります。

よくある質問

Q.ポップアップがゴミ箱に入っていたら、復元すれば元に戻りますか。
A.ゴミ箱にある間は、管理画面から復元できる可能性があります。ただし、更新か無効化を先に済ませないと、同じ要求でまた全件が移されるおそれがあります。復元は対策のあとにしてください。

この記事は、取得元の公開情報をもとに、人が監修しながらAIを活用して執筆しています。執筆と監修は佐々木 航が担い、公開したあとも人が内容を確認しています。誤りに気づいたときは直し、記事の末尾に訂正の行を残します。対応を決める前に、下の原文と参照先も確認してください。

影響パッケージ

種類パッケージ影響を受ける版修正版
popupbuilder Popup Builder – Create highly converting, mobile friendly marketing popups.
4.4.5 以前
—
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。

The Popup Builder – Create highly converting, mobile friendly marketing popups. plugin for WordPress is vulnerable to authorization bypass in all versions up to, and including, 4.4.5 This is due to the plugin not properly verifying that a user is authorized to perform an action. This makes it possible for unauthenticated attackers to trash all published popups on the site with a single unauthenticated GET request. The attack is amplified by a second flaw in SGPopup::find(), which returns false for every normally published popup when the sg_popup_preview_id parameter is present, causing the trash branch to fire against every popup on the site simultaneously.

出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory

参照URL

当サイトでは、アクセス解析と広告の効果測定のために Cookie を使います。株式会社Game のサイト共通の設定です。 詳しく