つみかさね

CVE-2026-77000

Critical(9.8)

WP Social Media Loginのなりすましログイン CVE-2026-77000：影響範囲と対応方法

公開日: 2026-08-24データソース: NVD, GitHub Advisory

影響を受けるソフトウェア

製品ベンダー影響バージョン
WP Social Media Login (WordPress plugin)plugin author<= 1.0.6

対応ガイド

high|対応必須セキュリティ修正影響: 広範

推奨アクション

  1. 1WP Social Media Login を導入しているか、バージョンを確認する
  2. 2修正版が提供されていればアップデートする
  3. 3修正版が未提供、または不要であればプラグインを無効化・削除する

影響対象

WP Social Media Login 利用サイト

対応不要な人

  • ✓WP Social Media Login を導入していない
  • ✓既に無効化・削除している

補足

  • -侵害の疑いがある場合は管理者パスワードのリセットとセッション無効化を実施してください
CVEWordPressプラグイン認証不備なりすまし

30秒で判断

  • 対応すべき人: WordPress プラグイン「WP Social Media Login」（バージョン 1.0.6 以前）を有効化しているサイトの管理者
  • 対応不要な人: 当該プラグインを導入していない / 既に無効化・削除している環境
  • 確認方法: WordPress 管理画面の「プラグイン」一覧で「WP Social Media Login」の有無とバージョンを確認する

概要

WordPress プラグイン「WP Social Media Login」（1.0.6 以前）は、ソーシャルログインが ID プロバイダで実際に完了したかをサーバー側で検証しないまま、訪問者を認証してしまう認証不備（CWE-287）を抱えています。

このため、未認証の攻撃者が対象ユーザーのメールアドレスを指定するだけで、管理者を含む任意の既存ユーザーとしてログインできる可能性があります。管理者アカウントが乗っ取られると、サイトの改ざんやマルウェアの設置など、被害が広範囲に及ぶおそれがあります。同種の認証不備は、SoClever 製プラグイン（CVE-2026-77001）や SmilePass Selfie Login（CVE-2026-77002）でも報告されています。

CVSSベクトル

指標値
CVSSスコア9.8
深刻度Critical
CWECWE-287（不適切な認証）
攻撃元区分ネットワーク
攻撃条件の複雑さ低
必要な特権レベル不要

影響を受けるソフトウェア

製品ベンダー影響バージョン
WP Social Media Login（WordPress プラグイン）プラグイン提供元1.0.6 以前

修正バージョンと回避策

  • プラグイン提供元から修正版が提供されている場合は、速やかにアップデートしてください。
  • 修正版が未提供、または利用を継続する必要がない場合は、プラグインの一時的な無効化・削除を推奨します。
  • 侵害の可能性がある場合は、管理者アカウントのパスワードリセットとセッションの無効化、不審な投稿・ユーザーの点検を実施してください。

関連リンク

データソース: NVD (NIST) AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。

関連する脆弱性

CVE-2026-77001SoClever ソーシャルログインプラグインの認証不備CVSS 9.8CVE-2026-77002SmilePass Selfie Login の認証不備CVSS 9.8

参考リンク

NVD:https://nvd.nist.gov/vuln/detail/CVE-2026-77000
WPScan:https://wpscan.com/vulnerability/3051dece-7ecb-4911-bf13-291ebdc34bff/
Xでシェアはてブ
データソース: NVD (NIST), OSV (Google), GitHub Advisory Database, JVN iPedia (IPA/JPCERT/CC)
AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。