WordPressでポップアップやメール登録フォームを提供するプラグイン「MailOptin – Popup, Optin Forms & Email Newsletters for Mailchimp, HubSpot, AWeber Etc.」において、セキュリティ上の問題が確認されました。影響を受けるのは、バージョン 1.2.77.3 までのすべてのバージョンです。
本脆弱性を悪用された場合、ログインしていない第三者によって、本来想定していない権限を持つユーザーアカウントがサイト上に作成される可能性があります。
対策として、バージョン 1.2.78.0 以降への更新を推奨します。
脆弱性詳細
本脆弱性は、フォームから送信された「登録先の指定」について、その値が管理者の用意した選択肢に含まれるものかを確認していなかったことに起因します。
その結果、連携先として「WordPressのユーザー登録」を設定している場合に、管理者が意図していない権限を持つユーザーが作成される可能性がある状況となっていました。
想定される被害
この脆弱性が悪用された場合、以下のような被害が想定されます。
作成されるアカウントに関する影響
- フォームの選択肢に用意していない権限グループ（ロール）を持つユーザーが作成される
- 権限グループの設定内容によっては、管理画面の機能を利用できるアカウントとなるおそれ
なお、管理者権限（administrator）については、指定されても割り当てられないよう除外する処理が入っています。
作成されたアカウントの利用
- パスワードが自動生成された場合、登録に使われたメールアドレス宛にログイン用の案内メールが送信されます
- 連携設定で自動ログインを有効にしている場合は、登録処理と同時にログイン状態となります
被害発生の条件
以下の条件がいずれも満たされた場合に、被害が発生する可能性があります。
- MailOptinの連携先設定に「WordPress User Registration（WordPressのユーザー登録）」が含まれている
- フォームに、登録先を選択する項目が設定されている
この2つに該当しない場合、本経路による影響は受けません。
該当する場合は、管理者やサイト利用者が特別な操作を行わなくても、フォームへの送信のみで処理が実行される点にご注意ください。
技術的な詳細
MailOptinには、フォームの送信内容をあらかじめ設定した連携先へ引き渡す仕組みがあります。連携先のひとつである「WordPressのユーザー登録」では、この「登録先」の指定が、新規ユーザーに与える権限グループ（ロール）の名前として使われます。
フォームに登録先を選ぶ項目を設けている場合、本来は管理者が選択肢として設定した値のみを受け付けるべきところ、送信された値をその選択肢と照合する処理がありませんでした。
そのため、画面上に表示されていない値であっても、そのまま権限グループ名として扱われる状態でした。
加えて、この登録処理はログインしていない訪問者からも実行できる仕組みとなっていました。
攻撃の流れは、大まかには次のとおりです。
- サイト上の対象フォームに対し、通常の送信と同じ経路でリクエストを送信する
- 送信内容に含まれる登録先の指定を〈省略〉へ差し替える
- 指定した権限グループを持つユーザーが作成される
対策版では、送信された登録先の値を管理者が設定した選択肢と照合し、含まれていない場合は処理を行わないよう修正されています。
脆弱性の種類
推奨対応事項
該当バージョンのプラグインをご利用の場合、以下の対応を強く推奨します。
- プラグインの更新
- 速やかに、プラグインを対策バージョン（1.2.78.0 以降）へ更新してください。
- 被害確認
- WordPress管理画面の「ユーザー」メニューを開き、身に覚えのないアカウントがないか確認してください。
次の特徴に該当するものは、特にご確認ください。- ユーザー名がメールアドレスの形式になっている
- フォームで想定していた権限とは異なる権限が付いている
- この処理でユーザーが作成されると、サイト管理者宛に「新規ユーザー登録」の通知メールが送信されます。
更新前の期間について、心当たりのない通知メールが届いていないかご確認ください。 - 不審なアカウントが見つかった場合は、削除するか、権限を見直したうえでパスワードを再設定してください。
- WordPress管理画面の「ユーザー」メニューを開き、身に覚えのないアカウントがないか確認してください。
- 今後の予防策
- 利用していない連携先の設定は、無効化または削除することを推奨します。
- 特に「WordPress User Registration」を使用していない場合は、設定から外すことで本経路の影響を避けられます。
⇒不審なユーザーアカウントが確認された場合は、WordPressの専門家などへの相談を推奨します。
影響を受けるバージョン
MailOptin – Popup, Optin Forms & Email Newsletters for Mailchimp, HubSpot, AWeber Etc. 1.2.77.3 までのバージョン
脆弱性情報 (CVE-ID)
CVE-2026-57813 
（公開日 2026年7月13日 更新日 2026年7月13日）
脆弱性の深刻度 (CVSS v3)
基本値: 9.8 (緊急) [Wordfence]
脆弱性脅威度(EPSS)
CVE-2026-57813 悪用確率 0.26% （上位82%） 2026年7月27日時点
ソフトウェア脆弱性情報の著作権に関する注意事項
This record contains material that is subject to copyright.
Copyright 2012-2026 Defiant Inc.
License: Defiant hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute this software vulnerability information. Any copy of the software vulnerability information you make for such purposes is authorized provided that you include a hyperlink to this vulnerability record and reproduce Defiant’s copyright designation and this license in any such copy. Read more.
Copyright 1999-2026 The MITRE Corporation
License: CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE’s copyright designation and this license in any such copy. Read more.
「WordPressセキュリティ保守」をご利用のお客様へ
WordPress
MailOptin プラグインをご利用中のお客様には、対策バージョンへの更新状況および推奨対応事項について、順次メールにてご案内しております。
