WordPressのログイン画面カスタマイズやブランディング機能を提供するプラグイン「Branda – White Label & Branding, Free Login Page Customizer」において、セキュリティ上の問題が確認されました。影響を受けるのは、バージョン 3.4.29 までのすべてのバージョンです。
本脆弱性を悪用された場合、ログインしていない第三者によって、管理者を含む既存ユーザーのパスワードが書き換えられる可能性があります。
対策として、バージョン 3.4.31 以降への更新を推奨します。
脆弱性詳細
本脆弱性は、ユーザー情報が保存される直前の処理で、「新規アカウントの作成」と「既存アカウントの更新」を区別していなかったことに起因します。本来は新規登録時のみ行うべきパスワードの設定が、既存ユーザーの更新時にも適用されうる状態になっていました。
想定される被害
この脆弱性が悪用された場合、次のような被害のおそれがあります。
アカウントの乗っ取り
- 既存ユーザーのパスワードが、攻撃者の送信した値に書き換えられる
- 対象が管理者の場合、管理画面へのログインを許す
被害発生の条件
- ログインしていない訪問者に対して動作するため、サイトにアクセスできる第三者であれば、サイト側の操作を待たずに悪用されうる
技術的な詳細
（やや専門的な内容です）プラグインには、ユーザー情報を保存する直前に呼び出され、登録フォームから送られたパスワードを反映する処理があります。この処理は「新規作成」と「更新」の両方で動作しますが、対策前はこの二つを区別していませんでした。
そのため、更新の場面でも、送信されたパスワード値が既存ユーザーのパスワードとして設定されてしまう状態でした。
対策版では、更新の場面ではパスワード処理を行わずに処理を終える判定が追加され、パスワードの設定が新規作成時のみに限定されました。
脆弱性の種類
推奨対応事項
該当バージョンのプラグインをご利用の場合、以下の対応を強く推奨します。
- プラグインの更新
- 速やかに、プラグインを対策バージョン（3.4.31 以降）へ更新してください。
- 被害確認
- 管理者を含む各ユーザーが、これまでのパスワードで通常どおりログインできるかを確認してください。
身に覚えのないログイン不可は、パスワード書き換えの兆候となります。 - Webサーバーのアクセスログがある場合は、ユーザー登録用のページ（WordPressの登録処理ページ）へのデータ送信に、
不審なもの（とくに既存ユーザー名を対象としたアクセス）がないか確認してください。 - 不審な点が確認された場合は、対象アカウントのパスワードを再設定したうえで、WordPressの専門家への相談を推奨します。
- 管理者を含む各ユーザーが、これまでのパスワードで通常どおりログインできるかを確認してください。
⇒管理者アカウントの乗っ取りが疑われる場合は、対象アカウントを優先してパスワードを再設定し、必要に応じて全ユーザーの再設定を検討してください。
影響を受けるバージョン
Branda – White Label & Branding, Free Login Page Customizer 3.4.29 までのバージョン
脆弱性情報 (CVE-ID)
CVE-2026-11551 
（公開日 2026年6月19日 更新日 2026年6月23日）
脆弱性の深刻度 (CVSS v3)
基本値: 9.8 (緊急) [Wordfence]
脆弱性脅威度(EPSS)
CVE-2026-11551 悪用確率 0.63% （上位54%） 2026年7月17日時点
ソフトウェア脆弱性情報の著作権に関する注意事項
This record contains material that is subject to copyright.
Copyright 2012-2026 Defiant Inc.
License: Defiant hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute this software vulnerability information. Any copy of the software vulnerability information you make for such purposes is authorized provided that you include a hyperlink to this vulnerability record and reproduce Defiant’s copyright designation and this license in any such copy. Read more.
Copyright 1999-2026 The MITRE Corporation
License: CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE’s copyright designation and this license in any such copy. Read more.
「WordPressセキュリティ保守」をご利用のお客様へ
WordPress
Branda プラグインをご利用中のお客様には、対策バージョンへの更新状況および推奨対応事項について、順次メールにてご案内しております。
