WordPressでメール送信管理を行うプラグイン「Post SMTP – WP SMTP Plugin with Email Logs」のバージョン 3.2.0 以下のすべてのバージョンで、セキュリティ脆弱性が発見されました。
この脆弱性により、購読者や投稿者など低い権限でログインしたユーザーが、本来管理者のみがアクセスできるメール送信ログや詳細情報を不正に閲覧・操作することが可能となっています。特に、パスワードリセットメールなどの機密情報が含まれる場合、管理者アカウントの乗っ取りにつながるリスクがあります。対策バージョン 3.3.0 以降への更新を強く推奨します。
想定される事象
| 想定される被害 | この脆弱性により、以下のような被害が想定されます ・機密メール情報の不正閲覧 - サイト内で送信されたすべてのメールの件名・送信先・送信日時が閲覧される - パスワードリセットメールやアカウント認証メールの詳細内容が漏洩 - 顧客とのやり取りや重要な通知メールの内容が第三者に見られる ・管理者アカウントの乗っ取り - パスワードリセットメールに含まれるリセットリンクを悪用される - 管理者権限を奪われ、サイト全体が制御される - 他のユーザーのアカウント情報も危険にさらされる ・メール機能の不正利用 - 過去に送信されたメールが第三者のアドレスに再送信される - 機密情報が攻撃者の指定するメールアドレスに転送される - サイトのメール送信機能がスパム配信に悪用される ・継続的な内部監視 - 低権限アカウントを使った長期間の情報収集が行われる - 新しく送信されるメールも継続的に監視される - サイト運営に関する重要な情報が筒抜けになる |
|---|---|
| 技術的な詳細 | この脆弱性は、以下の問題に起因します (1) REST API権限制御の不備 ・プラグインのREST API機能で使用される「get_logs_permission()」関数の権限チェックが不適切 ・修正前は「is_user_logged_in()」のみで、ログイン済みユーザーなら誰でもアクセス可能 ・本来は管理者権限「manage_options」が必要な機能に低権限ユーザーがアクセスできる状態 (2) 8つのAPIエンドポイントが影響 ・「get-logs」：メール送信ログ一覧の取得 ・「get-details」：特定メールの詳細内容とセッション記録の取得 ・「resend-email」：過去のメールの再送信実行 ・「email-count」：メール送信統計情報の取得 ・「get-failed-logs」：送信失敗したメールログの取得 ・その他、通知管理や設定変更機能も含む (3) 特に危険な「get-details」機能 ・特定のメールIDを指定することで、メールの完全な内容を取得可能 ・「original_message」パラメータにより、パスワードリセットリンクなどの機密情報も含む ・「session_transcript」により、SMTP送信時の詳細なやり取りログも閲覧可能 (4) 「resend-email」による情報窃取 ・過去に送信されたメールを任意のアドレスに再送信可能 ・攻撃者が自分のメールアドレスを指定して、機密メールを転送させることが可能 ・元のメール内容、ヘッダー情報、添付ファイルもそのまま転送される |
| 脆弱性の種類 | CWE-862 認証の欠如 |
| 推奨対応事項 | 該当バージョンのプラグインをご利用の場合、以下の対応を強く推奨します (1) プラグインの緊急更新 ・プラグインを対策バージョン（3.3.0以降）に即座に更新 (2) 被害確認 ・メールログの確認 - Post SMTPの管理画面からメールログにアクセスし、不審な閲覧履歴がないか確認 - 重要なパスワードリセットメールが送信されていないかチェック - 身に覚えのない「再送信」されたメールがないか確認 ・ユーザーアカウントの確認 - 管理者以外のユーザーによる不審なログイン履歴 - パスワード変更履歴や権限変更履歴の確認 - 新規ユーザー登録やユーザー削除の有無 ・サーバーアクセスログの確認 - 「/wp-json/psd/v1/」で始まるREST APIへのアクセス履歴 - 特に「get-details」「resend-email」への不審なアクセス - 低権限ユーザーからの大量のAPI呼び出し (3) セキュリティ強化対策 ・ユーザー権限の見直し：不要な購読者・投稿者アカウントの削除 ・パスワードの変更：すべてのユーザーアカウントのパスワード強化 ・二要素認証の導入：管理者アカウントの追加保護 ・定期的なログ監視：メール送信ログの定期チェック体制の構築 ⇒パスワードリセットメールが大量に送信されていたり、管理者アカウントに不審なアクセスがある場合は、アカウント乗っ取りが発生している可能性があります。レンタルサーバー会社のサポートやWordPressセキュリティ専門家への緊急相談をお勧めします。 |
| 影響を受けるバージョン | Post SMTP 3.2.8 以下のすべてのバージョン |
| 脆弱性情報 (CVE-ID / 公開日) | CVE-2025-24000 / RESERVED(2025/07/23時点) |
| 脆弱性の深刻度 (CVSS v3) | 基本値: 8.8 (重大) [Wordfence] |
ソフトウェア脆弱性情報の著作権に関する注意事項
This record contains material that is subject to copyright.
Copyright 2012-2024 Defiant Inc.
License: Defiant hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute this software vulnerability information. Any copy of the software vulnerability information you make for such purposes is authorized provided that you include a hyperlink to this vulnerability record and reproduce Defiant’s copyright designation and this license in any such copy. Read more.
Copyright 1999-2024 The MITRE Corporation
License: CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE’s copyright designation and this license in any such copy. Read more.
「WordPressセキュリティ保守」をご利用のお客様へ
WordPress
Post SMTP プラグインをご利用のお客様へは、「対策バージョンへの更新状況と推奨対応事項」メールを順次ご案内しております。
WordPress プラグイン Post SMTP 情報
| 最新版 バージョン | 3.3.0 |
|---|---|
| 対象 WordPress バージョン | 5.6.0 またはそれ以降 検証済み最新バージョン :6.8.2 |
| 有効インストール数 | 400,000+ |
| プラグイン ページ | Post SMTP – WP SMTP Plugin with Email Logs and Mobile App for Failure Notifications – Gmail SMTP, Office 365, Brevo, Mailgun, Amazon SES and more – WordPress プラグイン | WordPress.org 日本語 |
