30秒で判断
- 対応が必要な人: WordPressプラグイン「EASY-JS-WPAPI Client HANDLE for the WordPress REST-API」バージョン2.0以下を使用しているサイト運営者
- 対応不要な人: 当該プラグインを導入していないWordPressサイト
- 確認コマンド: WordPress管理画面の「プラグイン」一覧で「EASY-JS-WPAPI」のバージョンを確認
概要
WordPress用プラグイン「EASY-JS-WPAPI Client HANDLE for the WordPress REST-API」のバージョン2.0以下に、重大な認証不備の脆弱性が見つかりました。このプラグインは、保存している管理者の認証情報が未認証のユーザーに開示されてしまう問題があり、さらに認証の検証自体も正しく行われていません。
この結果、ログインしていない第三者が管理者の認証情報を取得でき、WordPressサイトに対して完全な管理者権限でアクセスできる状態になっていました。認証情報そのものが窃取されるため、サイトの完全な乗っ取りにつながる極めて深刻な脆弱性です。
CVSSベクトル
| 項目 | 値 |
|---|---|
| CVSSスコア | 9.8 (Critical) |
| CVSSバージョン | 3.1 |
| 攻撃元区分 | ネットワーク |
| 攻撃条件の複雑さ | 低 |
| 必要な特権レベル | 不要 |
| ユーザー関与 | 不要 |
影響を受けるソフトウェア
| 製品 | ベンダー | 影響を受けるバージョン |
|---|---|---|
| EASY-JS-WPAPI Client HANDLE for the WordPress REST-API | 不明（WordPress plugin） | 2.0以下 |
修正バージョンと回避策
- WordPress管理画面からプラグインを最新バージョンに更新してください。修正版が未提供の場合は、プラグインを無効化・削除することを強く推奨します。
- 既に認証情報が漏洩している可能性を考慮し、管理者アカウントのパスワードを変更してください。
- 不審な管理者アカウントの作成やログイン履歴がないか確認してください。
関連リンク
データソース: NVD (NIST) AI解説はClaude APIにより自動生成されています。正確性については原文をご確認ください。