Realteo - Real Estate Plugin by Purethemes <= 1.2.8 - 'do_register_user' 経由の認証バイパス

この認証バイパス脆弱性は、攻撃者にとって非常に強力な武器となります。攻撃者は認証を回避し、管理者権限を持つアカウントを容易に作成できるため、WordPressサイト全体の完全な制御権を奪うことが可能になります。これにより、機密情報（顧客データ、契約情報、財務情報など）の窃取、ウェブサイトの改ざん、悪意のあるコードの挿入、さらには他のシステムへの攻撃の踏み台としての利用といった攻撃が可能になります。特に、WordPressサイトが重要なビジネスデータや顧客情報を扱っている場合、この脆弱性の悪用による被害は甚大となる可能性があります。類似の脆弱性は、WordPressプラグインにおける権限管理の不備から発生することが多く、過去にも同様の事例が報告されています。

Websites utilizing the Realteo - Real Estate Plugin, particularly those running older, unpatched versions (0–1.2.8), are at significant risk. Shared hosting environments where multiple websites share the same server are also at increased risk, as a compromise of one site could potentially lead to the compromise of others. Sites relying on the Findeo Theme, which integrates with the plugin, are also affected.

• wordpress / composer / npm:

wp plugin list --status=active | grep Realteo

• wordpress / composer / npm:

wp plugin update --all

• wordpress / composer / npm:

wp plugin status realteo-real-estate-plugin

• wordpress / composer / npm:

wp option get admin_user_email

• wordpress / composer / npm:

wp user get admin --fields=roles

1. 2025-03-14Disclosure

   disclosure

1. 予約済み2025-03-11
2. 公開日2025-03-14
3. 更新日2026-04-08
4. EPSS 更新日2026-04-02

この脆弱性への最も効果的な対策は、Realteo - Real Estate Pluginを最新バージョンにアップデートすることです。アップデートが利用できない場合、一時的な対策として、WordPressのユーザー登録機能を制限するプラグインの導入や、強力なパスワードポリシーの設定、二段階認証の導入などが考えられます。また、WAF（Web Application Firewall）を導入し、不正なユーザー登録リクエストを検知・遮断することも有効です。WordPressのアクセスログを定期的に監視し、不審なアクティビティがないか確認することも重要です。アップデート後、WordPressの管理画面にログインし、管理者アカウントの権限設定が適切であること、および不要なプラグインがインストールされていないことを確認してください。