30秒で判断
- 対応すべき人: WordPressサイトで「WP BASE Booking of Appointments, Services and Events」プラグインを使っている方
- 対応不要な人: このプラグインを導入していない方、または既に6.5.1以降にアップデート済みの方
- 確認コマンド: WordPress管理画面の「プラグイン」一覧でバージョンを確認、またはサーバー上で以下を実行
grep "Version" wp-content/plugins/wp-base/wp-base.php
概要
WP BASE Booking of Appointments, Services and Eventsは、予約管理機能を提供するWordPressプラグインです。6.5.1より前のバージョンでは、ユーザー作成に関わる処理の権限チェックが不十分でした。この結果、購読者（Subscriber）レベル以上の権限を持つ認証済みユーザーが、新しい管理者アカウントを作成し、権限を昇格できる状態になっていました。
一般公開されたサイトで「購読者」としての新規登録を許可している場合、攻撃者がアカウントを作成した上でこの問題を利用できる可能性があるため、実質的な影響範囲は広めに見ておく必要があります。
CVSSベクトル
| 項目 | 内容 |
|---|---|
| CVSSスコア | 8.8 (High) |
| CVSSバージョン | 3.1 |
| 攻撃元 | ネットワーク経由（想定） |
| 必要な権限 | 購読者レベル以上の認証済みアカウント |
| 影響 | 管理者権限への昇格 |
影響を受けるソフトウェア
| 製品 | ベンダー | 影響バージョン |
|---|---|---|
| WP BASE Booking of Appointments, Services and Events | WP BASE | < 6.5.1 |
修正バージョンと回避策
修正版の6.5.1が公開されています。該当プラグインを使用している場合は、速やかに6.5.1以降へアップデートすることを推奨します。アップデートがすぐに行えない場合は、新規ユーザー登録（購読者としての登録）を一時的に無効化することで、リスクを下げられます。
関連リンク
データソース: NVD (NIST) AI解説はClaude APIにより自動生成されています。正確性については原文をご確認ください。