30秒で判断
対応すべき人
- WordPressのマルチサイト環境で「Post Duplicator」プラグインを使用している
- バージョン3.0.18より前のPost Duplicatorを使用している
対応不要な人
- Post Duplicatorプラグインを使用していない
- 単一サイト(マルチサイトではない)のWordPressで運用している
- すでにPost Duplicator 3.0.18以降にアップデート済み
確認コマンド
# WordPress管理画面 または wp-cli でバージョン確認
wp plugin list | grep post-duplicator
概要
「Post Duplicator」はWordPressの投稿を複製するためのプラグインです。本脆弱性(CVE-2026-121875)は、権限設定(ロールへの権限割り当て)の検証が不十分であることに起因します。
WordPressのマルチサイトネットワークでは、通常Super Admin(ネットワーク全体の管理者)のみがネットワーク管理系の権限を持ちます。しかし本脆弱性が存在すると、Super Adminではない個別サイトの管理者が、このプラグインの権限設定機能を通じて、本来Super Adminにのみ許可されるべきネットワーク管理権限を自分や他のロールに付与できてしまう可能性があります。結果として、権限昇格(Privilege Escalation)につながります。
CVSSベクトル
| 項目 | 内容 |
|---|---|
| CVSSスコア | 7.2 (High) |
| CVSSバージョン | 3.1 |
| 攻撃元区分 | ネットワーク |
| 必要な権限 | 低(マルチサイト内の管理者権限) |
| 影響 | 機密性・完全性・可用性への影響 |
| CWE | CWE-269(不適切な権限管理) |
影響を受けるソフトウェア
| 製品 | 影響バージョン | 備考 |
|---|---|---|
| Post Duplicator (WordPressプラグイン) | < 3.0.18 | マルチサイト環境でのみ影響 |
修正バージョンと回避策
Post Duplicatorを3.0.18以降にアップデートしてください。現時点でアップデートが難しい場合は、マルチサイトネットワークの各サイト管理者に不必要な権限を付与しないよう運用面で管理し、プラグインの権限設定変更ログを定期的に確認することを推奨します。
関連リンク
データソース: NVD (NIST) AI解説はClaude APIにより自動生成されています。正確性については原文をご確認ください。