30秒で判断
- 対応すべき人: MyHome Core プラグイン 4.4.5 以前を利用しているサイト管理者
- 対応不要な人: MyHome テーマ/プラグインを使用していない場合、レガシー/WPBakeryモードでフロント登録・確認メールを有効化していない場合
- 確認方法: プラグインのバージョンと登録・確認メール関連の設定を確認する
概要
MyHome Core プラグインに、認証バイパスの脆弱性が報告されました。send_link() AJAXハンドラにおける認可の欠如と、activate() 関数のトークン検証不備を組み合わせることで、無認証の攻撃者が未確認アカウントの有効化トークンを生成し、そのアカウント（管理者を含む）の有効な認証クッキーを取得できます。悪用の成立には、MyHomeテーマがレガシー/WPBakeryモードで構成され、フロントエンド登録と確認メールが有効で、対象アカウントに myhome_agent_confirmed メタが未設定であるといった条件があります。
条件付きとはいえ、成立時の影響は管理者権限の奪取であり、サイト全体の掌握につながります。フロントエンドでの会員登録・エージェント登録を開放している不動産系サイトでは、攻撃者が事前にアカウントを作成しておくことで悪用条件を満たしやすくなる点にも注意が必要です。テーマ・プラグインの構成モード（レガシー/WPBakery か否か）を把握し、不要な登録フローは閉じておくことがリスク低減に有効です。
CVSSベクトル
| 項目 | 評価 |
|---|---|
| CVSS スコア | 9.8（Critical） |
| 攻撃元区分 (AV) | ネットワーク |
| 必要な権限 (PR) | なし |
| ユーザー関与 (UI) | 不要 |
| CWE | CWE-289（代替経路・チャネルを用いた認証回避） |
影響を受けるソフトウェア
| 製品 | ベンダー | 影響バージョン |
|---|---|---|
| MyHome Core | MyHome (ThemeForest) | <= 4.4.5 |
修正バージョンと回避策
修正版へアップデートしてください。当面の緩和策として、フロントエンド登録・確認メール機能の設定を見直し、不要であれば無効化することが有効です。会員登録を伴うサイトでは、登録・確認フローのログを確認し、不審なアクティベーションが行われていないかを併せて点検することを推奨します。
関連リンク
データソース: NVD (NIST), Wordfence AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。