30秒で判断
- 対応すべき人: WordPressのマルチサイトネットワークで「Post Duplicator」プラグインをバージョン3.0.18未満で使用しているサイト管理者（特にSuper Adminではない管理者権限を持つユーザーがいる場合）
- 対応不要な人: Post Duplicatorを利用していない人、マルチサイトネットワークを運用していない人、すでに3.0.18以降を利用している人
- 確認コマンド: WordPress管理画面の「プラグイン」でPost Duplicatorのバージョンを確認。
3.0.18未満であれば該当
概要
WordPressのプラグイン「Post Duplicator」に、権限昇格につながる脆弱性が見つかりました。本プラグインは設定の保存処理を自身のオプションに限定するチェックが不足しており、マルチサイトネットワーク上でSuper Adminではない通常のサイト管理者が、本来変更できないはずの他の設定（ロール定義を含む）を上書きできてしまう可能性があります。これにより、当該管理者がネットワーク全体を管理できる権限を自ら付与してしまう恐れがあります。マルチサイト環境特有の脆弱性であり、単一サイト運用のWordPressには影響しません。
CVSSベクトル
| 項目 | 値 |
|---|---|
| CVSSスコア | 7.2 (High) |
| CVSSバージョン | 3.1 |
| CWE | CWE-863（Incorrect Authorization） |
影響を受けるソフトウェア
| 製品 | ベンダー | 影響バージョン |
|---|---|---|
| Post Duplicator (WordPress plugin) | - | < 3.0.18 |
修正バージョンと回避策
バージョン 3.0.18 で修正されています。マルチサイトネットワークを運用している場合は、速やかに3.0.18以降へのアップデートを推奨します。アップデートが難しい場合は、Super Admin以外のユーザーに不要なサイト管理者権限を与えないよう見直すことも有効な回避策です。
関連リンク
データソース: NVD (NIST) AI解説はClaude APIにより自動生成されています。正確性については原文をご確認ください。