Woffice <= 5.4.21 - Registration Role 経由の認証回避

この認証バイパス脆弱性を悪用されると、攻撃者は認証なしで管理者権限を取得し、Woffice CRMシステム全体を制御する可能性があります。不正な管理者アカウントを作成することで、機密情報の窃取、データの改ざん、システムの破壊といった深刻な被害をもたらす可能性があります。さらに、この脆弱性はCVE-2025-2797と組み合わせて、ユーザー承認プロセスをバイパスする攻撃に利用される可能性も指摘されています。攻撃者は、管理者になりすまして、システム設定の変更や不正な操作を実行し、広範囲にわたる損害を引き起こす可能性があります。

Organizations using Woffice CRM, particularly those with custom login forms or relying on the standard user registration process, are at significant risk. Shared hosting environments where multiple WordPress installations share the same server are also vulnerable, as a compromise of one site could potentially impact others. Sites using older, unpatched versions of WordPress are also at increased risk due to potential compatibility issues.

• wordpress / composer / npm:

wp plugin list | grep woffice

• wordpress / composer / npm:

wp plugin update woffice

• wordpress / composer / npm:

grep -r 'excluded_roles' /var/www/html/wp-content/plugins/wooffice-crm/*

• generic web:

curl -I https://your-wordpress-site.com/wp-admin/admin-ajax.php?action=wooffice_register_user

1. 2025-04-04Disclosure

   disclosure

2. 2025-04-04Patch

   patch

1. 予約済み2025-03-25
2. 公開日2025-04-04
3. 更新日2026-04-08
4. EPSS 更新日2026-03-23

Woffice CRMのバージョンを5.4.22以降にアップデートすることが最も効果的な対策です。アップデートが困難な場合は、カスタムログインフォームの使用を一時的に停止するか、ロール除外設定を適切に構成することで、攻撃のリスクを軽減できます。WAF（Web Application Firewall）を導入し、不正な登録試行を検知・遮断するルールを設定することも有効です。WordPressのセキュリティプラグインを活用し、不正なアクセスを監視することも推奨されます。アップデート後、Woffice CRMのアクセスログを確認し、不審なアクティビティがないか確認してください。