LeadSnap 1.25以前にログイン不要で悪用できる脆弱性
WordPressのプラグインLeadSnapの1.25以前に、ログイン不要で悪用できるPHPオブジェクトインジェクションの脆弱性が公表されました。該当サイトは版を確認し、更新できなければ無効化と削除を検討してください。
急ぎ度: 早めに
CVSS v3は9.8で、ログイン不要のままネットワーク越しに悪用できる評価ですが、公表は昨日で、実際の悪用の確認は伝えられていません。
関係があるか
LeadSnapを入れているWordPressサイトが対象です。外部に公開しているサイトは、そのまま攻撃の対象になりえます。制作会社が納品したサイトや、使われなくなった古いサイトも棚卸しの対象です。
| 製品 | 影響を受ける版 | 修正版 |
|---|---|---|
| WordPress用プラグイン LeadSnap | 1.25以前 | 修正版の版番号は、Patchstackの告知とWordPress管理画面の更新表示で確認してください |
確かめ方
- 1WordPress管理画面の「プラグイン」一覧で、LeadSnapが入っているか、版が1.25以下かを見ます。無効化中のものも対象です。
- 2複数のサイトを預かっている場合は、サイトごとに同じ確認をします。ステージング環境や、運用担当が替わったサイトも忘れずに見てください。
- 3コマンドが使える環境では、
wp plugin listの出力でLeadSnapの行と版を確認できます。
何が起きたか
WordPressのプラグインLeadSnapに、外部から届いたデータを安全に扱えていない脆弱性があります。悪用されると、サイトの情報の閲覧、内容の書き換え、サービス停止のおそれがあります。
種類はPHPオブジェクトインジェクション（CWE-502）です。PHPの仕組みで、文字列として保存されたデータをオブジェクトに戻すとき、入力の中身を十分に検査しないと、送り手が意図しないオブジェクトを作らせられます。
CVE-2026-90888として2026年10月30日に公表されました。影響するのは1.25以前の版です。
攻撃の流れ
-
1
対象サイトを探す
LeadSnapが入った公開中のWordPressサイトを見つけます。
-
2
細工したデータを送る
ログインせずに、プラグインが受け取る入力へ細工したデータを送ります。
-
3
不正なオブジェクト生成
プラグインがそのデータを復元するときに、意図しないオブジェクトが作られます。
-
4
サイトへの影響
サイト内の他のコードの内容しだいで、情報の漏えい、改ざん、停止につながります。
どう悪用されるか
悪用にログインは要らず、利用者に何かを操作させる必要もありません。攻撃者がインターネット越しにサイトへ到達できれば条件を満たします。CVSSのベクターも、ネットワーク経由・低い複雑さ・認証不要・操作不要という評価です。
被害として評価されているのは、機密性・完全性・可用性のすべてが高い影響です。ただしオブジェクトインジェクションは、サイトに入っている他のプラグインやテーマのコードの組み合わせで被害の大きさが変わるのが一般的です。同じLeadSnapでも、環境によって結果は違うでしょう。この差を当てにして対応を遅らせるのは勧められません。
今すぐやること
-
1
LeadSnapの有無と版を洗い出す
管理しているすべてのWordPressサイトで、LeadSnapが入っているか、版が1.25以下かを確認します。
wp plugin list -
2
修正版に更新する
Patchstackの告知とWordPress管理画面の更新表示で、1.25より新しい版が出ているかを確認します。出ていれば、バックアップを取ったうえで更新してください。
-
3
更新できないなら無効化して削除する
修正版が見当たらない場合や、使っていないプラグインの場合は、無効化にとどめず削除します。
-
4
侵害の跡がないか調べる
公表から日が浅いものの、公開サイトは早い段階から探索されます。身に覚えのない管理者アカウント、更新していないファイルの変更、アクセスログ上の不審なリクエストがないかを見てください。
修正版がないあいだのつなぎ
修正版をすぐに当てられないときは、LeadSnapを無効化し、不要なら削除します。機能が止められない場合は、WAFのベンダーがこの脆弱性向けのルールを出していないかを確認し、適用してください。ただしWAFは一時的なつなぎで、修正版の代わりにはなりません。
背景
WordPressのプラグインは、サイト本体と同じPHPの実行権限で動きます。だからプラグイン側の入力処理に穴があると、問題はそのプラグインの機能にとどまらず、サイト全体に及びます。しかも多くの組織は、フォームや集客のための部品として公開側に置いています。
PHPオブジェクトインジェクションは、外部から来たデータを復元する処理を、検証せずに通したときに起きる種類の脆弱性です。この種の問題が、他のプラグインやテーマの部品と組み合わさって大きな被害になることは、WordPressの世界でこれまでも知られています。今回のLeadSnapで実際にどう影響するかは、サイトの構成しだいです。
よくある質問
Q.プラグインを無効化していれば安全ですか。
Q.制作会社に運用を任せているサイトは、どう動けばよいですか。
この記事は、取得元の公開情報をもとに生成 AI で作成しています。誤りを含むことがあります。対応を決める前に、下の原文と参照先を確認してください。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 修正版 |
|---|---|---|---|
| leadsnap | LeadSnap |
1.25 以前 |
— |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
Unauthenticated PHP Object Injection in LeadSnap <= 1.25 versions.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web patchstack.com
- web nvd.nist.gov
- web github.com