WordPressで会員登録やログイン、ユーザープロフィール機能などを提供するプラグイン「ProfilePress（Paid Membership Plugin, Ecommerce, User Registration Form, Login Form, User Profile & Restrict Content）」において、セキュリティ上の問題が確認されました。影響を受けるのは、バージョン 4.16.17 までのすべてのバージョンです。
本脆弱性を悪用された場合、ログインしていない第三者が、サイト運営者の想定していない権限を持つアカウントを新規登録できる可能性があります。
対策として、バージョン 4.16.18 以降への更新を推奨します。
脆弱性詳細
本プラグインでは、会員登録フォームに「登録時に選べる権限グループ（管理者・投稿者などのユーザー種別）」の項目を設置でき、運営者は選択を許可する権限グループを指定できます。
しかし、この指定内容をプラグインが読み取る処理に不備があり、指定の記述形式によっては読み取りに失敗する場合がありました。
その結果、運営者が登録フォーム上で権限グループを絞り込んでいたつもりでも、実際にはより広い範囲の権限グループが受け付けられる状況となっていました。
想定される被害
この脆弱性が悪用された場合、以下のような被害が想定されます。
意図しない権限を持つアカウントの作成
- 会員登録フォームで許可したはずの範囲を超えた権限グループで、アカウントが作成される可能性
- 作成されたアカウントは、その権限グループに応じた操作（記事の投稿・編集など）を行える状態になります
被害発生の条件
以下の条件がすべて重なった場合に、被害が発生する可能性があります。
- WordPressの設定で「だれでもユーザー登録ができるようにする」が有効になっている
- 会員登録フォームをショートコード形式で作成しており、権限グループを選択する項目を設置している
- その項目に対する指定が、プラグイン側で正しく読み取れない記述形式になっている
条件に当てはまらない場合、この脆弱性の影響は受けません。
なお、条件に当てはまる場合、攻撃に管理者の操作は必要とされません。
技術的な詳細
権限グループの指定を読み取る処理は、対応できる記述形式が限定的でした（引用符の種類の違いや、権限グループ名にハイフンが含まれる場合など）。
問題は、読み取りに失敗したときの扱いにありました。
本来は「許可された権限グループを確認できない＝どれも受け付けない」と処理すべきところ、「そもそも指定がなかった」とみなし、編集可能なすべての権限グループを許可する動作になっていました。
登録時に指定された権限グループの妥当性は、この一覧との照合だけで判断されます。そのため、一覧が広がると、受け付けられる権限グループもそのまま広がってしまいます。
攻撃の大まかな流れ
- 登録リクエストに、権限グループを指定する項目（項目名は省略）を任意の値で付与して送信する
- サーバー側で許可一覧の読み取りに失敗し、受け入れ範囲が広がった状態で処理される
- 指定した権限グループを持つアカウントが作成される
対策版では、指定が存在するのに読み取れなかった場合はどの権限グループも受け付けない動作に変更され、あわせて読み取り処理そのものも複数の記述形式に対応するよう修正されています。
脆弱性の種類
推奨対応事項
該当バージョンのプラグインをご利用の場合、以下の対応を強く推奨します。
- プラグインの更新
- 速やかに、プラグインを対策バージョン（4.16.18 以降）へ更新してください。
- 被害確認
- この脆弱性は通常のユーザー登録の仕組みを通じて悪用されるため、作成されたアカウントは管理画面のユーザー一覧に表示されます。
- WordPress管理画面の「ユーザー」メニューを開き、「権限グループ」で絞り込みを行ってください。
- 会員登録フォームで許可したはずの権限グループ以外のアカウントが存在しないか確認してください。
一覧を「登録日」で並べ替えると、心当たりのない時期に作成されたアカウントを見つけやすくなります。 - 身に覚えのないアカウントが確認された場合は、権限グループの修正、または該当アカウントの削除を行ってください。
- 設定の見直し
- 「設定」→「一般」の「メンバーシップ（だれでもユーザー登録ができるようにする）」を確認し、会員登録が不要であれば無効にしてください。
- 同じ画面の「新規ユーザーのデフォルト権限グループ」が、必要以上に高い権限になっていないか確認してください。
⇒身に覚えのないアカウントや、意図しない権限変更が確認された場合は、WordPressの専門家などへの相談を推奨します。
影響を受けるバージョン
ProfilePress（Paid Membership Plugin, Ecommerce, User Registration Form, Login Form, User Profile & Restrict Content）4.16.17 までのバージョン
脆弱性情報 (CVE-ID)
CVE-2026-12497 
（公開日 2026年7月24日 更新日 2026年7月24日）
脆弱性の深刻度 (CVSS v3)
基本値: 9.8 (緊急) [Wordfence]
脆弱性脅威度(EPSS)
CVE-2026-12497 悪用確率 0.39% （上位69%） 2026年10月7日時点
ソフトウェア脆弱性情報の著作権に関する注意事項
This record contains material that is subject to copyright.
Copyright 2012-2026 Defiant Inc.
License: Defiant hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute this software vulnerability information. Any copy of the software vulnerability information you make for such purposes is authorized provided that you include a hyperlink to this vulnerability record and reproduce Defiant’s copyright designation and this license in any such copy. Read more.
Copyright 1999-2026 The MITRE Corporation
License: CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE’s copyright designation and this license in any such copy. Read more.
「WordPressセキュリティ保守」をご利用のお客様へ
WordPress
ProfilePress プラグインをご利用中のお客様には、対策バージョンへの更新状況および推奨対応事項について、順次メールにてご案内しております。
