つみかさね

CVE-2026-2052

High(8.8)

CVE-2026-2052 — WordPress Widget Optionsプラグイン コードインジェクション

公開日: 2026-05-03データソース: NVD, GitHub Advisory

影響を受けるソフトウェア

製品ベンダー影響バージョン
Widget OptionsDeveloper Platform<= 4.2.2

対応ガイド

high|推奨セキュリティ修正影響: 広範

推奨アクション

  1. 1Widget Optionsプラグインのバージョンを確認する
  2. 2最新バージョンへアップデートする
  3. 3Display Logic機能の利用状況を確認する
  4. 4投稿者権限のユーザーアカウントを見直す

影響対象

WordPress Widget Optionsプラグイン利用者

補足

  • -マルチユーザーのWordPressサイトでは特に優先度が高い
  • -部分修正（4.2.0）では不十分なため最新版への更新が必要
CVEWordPressWidget OptionsコードインジェクションRCE

概要

WordPress用プラグイン「Widget Options」のバージョン4.2.2以前において、Display Logic機能にコードインジェクション脆弱性が存在します。この機能はユーザーが入力した条件式をeval()関数で評価する設計となっており、ブロックリストおよびアローリストによる入力フィルタリングが実装されていますが、これらのフィルタリングを回避する方法が存在します。

この脆弱性を悪用するにはWordPressの投稿者（Contributor）以上の権限が必要ですが、権限を持つ攻撃者はサーバー上で任意のPHPコードを実行（RCE）することが可能です。バージョン4.2.0で部分的な修正が行われましたが、フィルタリングのバイパスが依然として可能な状態でした。

Widget Optionsは多数のWordPressサイトで利用されている人気プラグインであり、マルチユーザー環境のWordPressサイトでは特に注意が必要です。投稿者権限を持つユーザーがサイト全体を制御できる危険性があります。

CVSSベクトル

指標値
CVSSスコア8.8
深刻度High
CWECWE-94（コードインジェクション）
攻撃元区分ネットワーク
攻撃条件の複雑さ低
必要な特権レベル低（Contributor以上）

影響を受けるソフトウェア

  • WordPress Widget Options プラグイン 4.2.2以前

修正バージョンと回避策

  • Widget Optionsプラグインを最新バージョンへアップデートしてください
  • アップデートまでの間、Display Logic機能を無効化することを検討してください
  • 不要な投稿者アカウントの権限を見直し、最小権限の原則を適用してください
  • WordPressの管理画面へのアクセス制限を強化することも有効です

関連リンク

データソース: NVD (NIST), GitHub Advisory Database AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。

参考リンク

NVD:https://nvd.nist.gov/vuln/detail/CVE-2026-2052
WordPress Changeset:https://plugins.trac.wordpress.org/changeset/3514411/
Xでシェアはてブ
データソース: NVD (NIST), OSV (Google), GitHub Advisory Database, JVN iPedia (IPA/JPCERT/CC)
AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。