30秒で判断
- 対応が必要な人: WordPressプラグイン「Grand Job」バージョン1.2.1以下を使用しているサイト運営者
- 対応不要な人: 当該プラグインを導入していないWordPressサイト
- 確認コマンド: WordPress管理画面の「プラグイン」一覧で「Grand Job」のバージョンを確認
概要
WordPress用プラグイン「Grand Job」のバージョン1.2.1以下に、パスワードリセット機能に関する重大な脆弱性が見つかりました。このプラグインは、パスワードリセットの際に使われるリセットコードを正しく検証せずにパスワードの更新処理を行ってしまいます。
この結果、ログインしていない第三者が、管理者を含む任意のユーザーアカウントのパスワードを自由に設定できる状態になっていました。パスワードリセット機能を悪用することで、認証情報を知らなくてもサイトを完全に乗っ取ることが可能な、極めて深刻な脆弱性です。
CVSSベクトル
| 項目 | 値 |
|---|---|
| CVSSスコア | 9.8 (Critical) |
| CVSSバージョン | 3.1 |
| 攻撃元区分 | ネットワーク |
| 攻撃条件の複雑さ | 低 |
| 必要な特権レベル | 不要 |
| ユーザー関与 | 不要 |
影響を受けるソフトウェア
| 製品 | ベンダー | 影響を受けるバージョン |
|---|---|---|
| Grand Job (WordPress plugin) | 不明 | 1.2.1以下 |
修正バージョンと回避策
- WordPress管理画面からプラグイン「Grand Job」を最新バージョンに更新してください。修正版が未提供の場合は、プラグインを無効化・削除することを強く推奨します。
- 本脆弱性の悪用により既にパスワードが変更されている可能性があるため、全ユーザー（特に管理者）のパスワードリセット履歴を確認し、不審な変更があれば再設定してください。
- 可能であれば二段階認証（2FA）の導入も検討してください。
関連リンク
データソース: NVD (NIST) AI解説はClaude APIにより自動生成されています。正確性については原文をご確認ください。