Download Monitor <= 5.1.7 - 「token」および「order_id」を介した認証されていない任意の注文完了に対する安全でない直接オブジェクト参照

Download Monitorプラグインの脆弱性CVE-2026-3124は、認証されていない攻撃者がPayPalのトランザクショントークンとローカルの注文情報の不一致を悪用することで、任意の保留中の注文を完了させ、有料デジタル商品を不正に取得することを可能にします。攻撃者は、低価格のアイテムに対して少額の支払いを行い、その支払いトークンを使用して高額な注文を完了させることができます。この攻撃は、WordPressサイトでデジタル商品を販売している場合に特に深刻な影響を及ぼします。攻撃者は、ユーザーが支払った金額よりもはるかに高い価値のコンテンツを無料で入手できる可能性があります。影響を受けるサイトの規模と販売されているデジタル商品の価値によって、経済的損失や評判の低下につながる可能性があります。この脆弱性は、特にPayPal決済を使用しているサイトにとって、重大なリスクとなります。攻撃者は、複数の注文を試行し、成功するまで継続的にトークンを試す可能性があります。この攻撃の成功は、サイトのセキュリティ体制全体に対する信頼を損なう可能性があります。

1. 予約済み2026-02-24
2. 公開日2026-03-30
3. 更新日2026-04-08
4. EPSS 更新日2026-04-06

CVE-2026-3124の修正には、Download Monitorプラグインをバージョン5.1.8以降にアップデートすることが不可欠です。最新バージョンは、脆弱性のあるexecutePayment()関数におけるユーザー制御キーの検証不足を修正しています。アップデートがすぐに実行できない場合は、一時的な回避策として、PayPal決済を無効にするか、注文処理の追加の検証ステップを実装することを検討してください。ただし、これは完全な解決策ではなく、リスクが残る可能性があることに注意が必要です。アップデート適用後、プラグインが正常に動作していることを確認するために、テスト環境で注文処理をテストすることを強く推奨します。特に、PayPal決済を介した注文の完了をテストし、不正な注文が完了しないことを確認してください。アップデート適用後、セキュリティ監査を実施して、他の潜在的な脆弱性がないか確認することも重要です。