プラットフォーム
wordpress
コンポーネント
learning-management-system
修正版
2.1.7
CVE-2026-4484は、WordPressのMasteriyo LMSプラグインにおける権限昇格の脆弱性です。認証された攻撃者が、学生レベル以上のアカウントで管理者権限に昇格する可能性があります。この脆弱性はバージョン2.1.6までのすべてのバージョンに存在します。バージョン2.1.7で修正されています。
WordPressのMasteriyo LMSプラグインには、特権昇格の脆弱性が存在します。2.1.6までのバージョンが脆弱です。学生レベルのアクセス権を持つ認証された攻撃者は、この脆弱性を悪用して、管理者権限に昇格させることが可能です。これにより、攻撃者はウェブサイトを完全に制御し、コンテンツを修正したり、プラグインをインストールしたり、データを削除したり、管理者が実行できるすべての操作を実行したりすることができます。この脆弱性の深刻度は高く（CVSS 8.8）、セキュリティへの潜在的な影響と、比較的容易な悪用可能性が原因です。'InstructorsController::prepareobjectfor_database'関数内の適切な制御がないことが、このユーザーロールの操作を可能にし、ウェブサイトの整合性とデータの機密性を損なっています。
Masteriyo LMSをバージョン2.1.6までのウェブサイトを使用している学生ロール以上の権限を持つ攻撃者は、この脆弱性を悪用できます。攻撃者は'InstructorsController::prepareobjectfor_database'関数を操作して、自分のロールを管理者に変更する可能性があります。これは、悪意のあるコードの挿入またはリクエストパラメータの操作によって実現できます。攻撃者が管理者アクセス権を取得すると、マルウェアのインストール、データの盗難、コンテンツの修正など、ウェブサイト上のあらゆる操作を実行できます。
エクスプロイト状況
EPSS
0.05% (16% パーセンタイル)
CISA SSVC
CVSS ベクトル
推奨される解決策は、Masteriyo LMSプラグインを直ちにバージョン2.1.7以降にアップデートすることです。このバージョンには、特権昇格の脆弱性に対する修正が含まれています。さらに、ウェブサイト上の既存のユーザーロールを確認して、疑わしい権限を特定し、取り消してください。堅牢なパスワードポリシーを実装し、管理者ロールのユーザーなど、すべてのユーザーに対して二要素認証（2FA）を有効にすることで、悪用のリスクを軽減できます。ウェブサイトのログを異常なアクティビティがないか監視することも、良いセキュリティプラクティスです。
バージョン 2.1.7、またはそれ以降の修正済みバージョンにアップデートしてください
脆弱性分析と重要アラートをメールでお届けします。
これは、限られた権限を持つユーザーが通常は持っていないはずの機能やデータにアクセスできることを意味します。
一時的な措置として、学生ロールのユーザーのクリティカルなウェブサイト機能へのアクセスを制限してください。不正な変更がないか、ユーザーロールを定期的に確認してください。
ウェブサイトのログに、疑わしいログインや予期しないコンテンツの変更など、異常なアクティビティがないか確認してください。マルウェアを検索するためにセキュリティスキャナーを使用してください。
この脆弱性を検出できるWordPressの脆弱性スキャナーがあります。また、'InstructorsController::prepareobjectfor_database'関数についてプラグインのコードを手動で確認することもできます。
この脆弱性についてさらに詳しい情報をCVE脆弱性データベースで見つけることができます：https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2026-4484
依存関係ファイルをアップロードすれば、このCVEや他のCVEがあなたに影響するか即座にわかります。
依存関係ファイルをアップロードすれば、このCVEや他のCVEがあなたに影響するか即座にわかります。