ユーザーマネージャー – PN <= 1.1.15 - 'userspn_form_save' AJAXアクション経由でのアカウント乗っ取りによる認証されていない権限昇格

この脆弱性を悪用されると、攻撃者は認証されていないユーザーとしてシステムにアクセスし、任意のユーザーのメタデータを変更できます。これにより、攻撃者は管理者権限を昇格させ、機密情報を盗んだり、システム設定を改ざんしたり、悪意のあるコードを実行したりする可能性があります。特に、ユーザープロファイル情報、権限設定、その他の重要なデータが危険にさらされる可能性があります。この脆弱性は、WordPressサイト全体のセキュリティを脅かす重大なリスクとなります。

1. 予約済み2026-03-11
2. 公開日2026-04-07
3. 更新日2026-04-08
4. EPSS 更新日2026-04-15

この脆弱性への最も効果的な対策は、Users manager – PNプラグインをバージョン1.1.20にアップデートすることです。アップデートがすぐに利用できない場合、WordPressのセキュリティプラグインを使用して、ユーザーメタの更新を制限するカスタムルールを作成することを検討してください。また、WAF（Web Application Firewall）を導入し、不正なユーザーメタ更新リクエストをブロックすることも有効です。プラグインのアップデート後、ユーザー権限が正しく設定されていることを確認し、セキュリティログを監視して異常なアクティビティがないか確認してください。