CVE-2025-49388

Critical(9.8)

Miraculous Core Pluginの権限昇格脆弱性 CVE-2025-49388：影響範囲と対応方法

公開日: 2026-10-20データソース: NVD, GitHub Advisory

影響を受けるソフトウェア

製品	ベンダー	影響バージョン
Miraculous Core Plugin	kamleshyadav	<= 2.0.7

対応ガイド

high|対応必須セキュリティ修正影響: 限定的

推奨アクション

1当該プラグインを使用しているか、使用していればバージョンを確認する
2開発元の修正バージョンへアップデートする
3アップデートが困難な場合はプラグインを一時的に無効化する

影響対象

当該プラグインを導入するWordPressサイト運営者

対応不要な人

✓Miraculous Core Pluginを導入していない
✓既に2.0.7より新しい修正バージョンを使用している

補足

-不審な権限を持つユーザーアカウントが作成されていないか、念のため確認することを推奨します

CVEWordPress権限昇格

30秒で判断

対応すべき人：WordPressプラグイン「Miraculous Core Plugin」を2.0.7以下で使用しているサイト運営者
対応不要な人：当該プラグインを導入していない、または2.0.7より新しい修正版を使用している場合
確認コマンド：WordPress管理画面の「プラグイン」一覧で miraculouscore のバージョンを確認する

概要

テーマ/サイト構築支援プラグイン「Miraculous Core Plugin」で、権限の割り当て処理に不備があり、本来必要な権限を持たない攻撃者が通常よりも高い権限（管理者権限を含む）を取得できる脆弱性です。悪用されるとサイトの管理権限が奪取される可能性があります。

攻撃条件

項目	内容
攻撃元区分	ネットワーク（リモートから攻撃可能）
必要な権限	不要
ユーザー操作	不要
CVSSスコア	9.8（Critical）

影響を受けるソフトウェア

製品	ベンダー	バージョン
Miraculous Core Plugin	kamleshyadav	<= 2.0.7

修正バージョンと回避策

開発元の公開情報を確認し、修正バージョンへアップデートする
アップデートまでの間は、プラグインの一時的な無効化を検討する

関連リンク

データソース: NVD (NIST) AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。

関連する脆弱性

CVE-2025-49387WordPress「Drag and Drop File Upload for Elementor Forms」の任意ファイルアップロードCVSS 10 CVE-2025-52761WordPress「WP Funnel Manager」のPHPオブジェクトインジェクションCVSS 9.8

参考リンク

NVD:https://nvd.nist.gov/vuln/detail/CVE-2025-49388

Patchstack:https://patchstack.com/database/Wordpress/Plugin/miraculouscore/vulnerability/wordpress-miraculous-core-plugin-plugin-2-0-7-privilege-escalation-vulnerability?_s_id=cve

Xでシェアはてブ

データソース: NVD (NIST), OSV (Google), GitHub Advisory Database, JVN iPedia (IPA/JPCERT/CC)
AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。