結論
この脆弱性は、WordPress用のWishlist Memberプラグインに存在し、認証された攻撃者がデータを不正に変更できる可能性があります。影響を受けるユーザーは、プラグインのバージョン3.30.1までのすべてのユーザーです。早急に対策を講じる必要があります。
この記事の要点
- Wishlist Memberプラグインに権限チェックの欠如がある。
- 認証された攻撃者がREST API Secret Keyを更新可能。
- 新しい管理者レベルのユーザーアカウントを作成できる。
- サイト全体の乗っ取りが可能になる。
- CVSSスコアは8.8。
脆弱性の概要
この脆弱性は、WordPress用のWishlist Memberプラグインに存在し、すべてのバージョン（3.30.1を含む）において、’WishListMember3_Hooks::generate_api_key’関数における権限チェックの欠如により、データの不正な変更が可能です。これにより、認証された攻撃者が、Subscriberレベル以上のアクセス権を持つ場合、REST API Secret Keyを更新でき、新しいメンバーシップレベルを管理者のWordPressロールに割り当てたり、任意の管理者レベルのユーザーアカウントを登録したりすることができ、サイト全体の乗っ取りが可能になります。
| 項目 | 内容 |
|---|---|
| CVE番号 | CVE-2026-6898 |
| 公開日 | 2026-05-23T05:16:34.523000Z |
| 対象システム | Wishlist Memberプラグイン（バージョン3.30.1まで） |
| 脆弱性の種類 | 認証バイパス |
| CVSSスコア | 8.8 |
| 攻撃条件 | 認証が必要 / ネットワーク経由 |
◆ CVEについてはこちらから
まず何をすべきか
- 使用しているWishlist Memberプラグインのバージョンを確認する。
- 可能であれば、プラグインを最新バージョンに更新する。
- 不審なアカウントや変更がないか確認する。
出典元
- NVD詳細ページ：https://nvd.nist.gov/vuln/detail/CVE-2026-6898
- CVE公式ページ（cve.org）：https://www.cve.org/CVERecord?id=CVE-2026-6898
- security@wordfence.com：https://wishlistmember.com/
- security@wordfence.com：https://www.wordfence.com/threat-intel/vulnerabilities/id/05ce62ce-a02f-431e-95b1-ade38988e3ad?source=cve
対象システムと影響範囲
影響を受けるのは、Wishlist Memberプラグインを使用しているWordPressサイトで、バージョン3.30.1までのすべてのユーザーです。
被害内容
この脆弱性が悪用されると、攻撃者は管理者権限を持つユーザーアカウントを作成し、サイト全体を乗っ取ることが可能になります。
既知の悪用状況
現時点では実際の攻撃への悪用は確認されていません。
対応方法
ベンダーからの公式な修正やパッチがリリースされるまで、プラグインの使用を中止することを推奨します。
FAQ
Q1. どの製品が影響を受けますか？
Wishlist Memberプラグインを使用しているWordPressサイトが影響を受けます。
Q2. まず何をすればよいですか？
プラグインのバージョンを確認し、可能であれば最新バージョンに更新してください。
Q3. 実際の悪用は確認されていますか？
現時点では実際の攻撃への悪用は確認されていません。
コメント