WordPressサイト上で、複数の出店者が商品を販売できるマーケットプレイスを構築するためのプラグイン「Dokan」において、セキュリティ上の問題が確認されました。影響を受けるのは、バージョン 5.0.2 までのすべてのバージョンです。
本脆弱性を悪用された場合、サイトに出店者（ベンダー）として登録されたユーザーによって、管理者を含む他のユーザーのアカウント情報が閲覧・変更・削除される可能性があります。
対策として、バージョン 5.0.3 以降への更新を推奨します。
脆弱性詳細
本脆弱性は、出店者が自分の顧客を管理するために用意されたAPI（プログラム同士がデータをやり取りするための窓口）に存在します。
本来この機能は、その出店者と取引のある顧客だけを対象とすべきものでしたが、対象範囲の制限が行われていませんでした。
そのため、サイトに出店者として登録されたユーザーであれば、取引関係のない他の利用者や、他の出店者、さらにはサイト管理者のアカウントまで操作の対象にできる状況となっていました。
想定される被害
この脆弱性が悪用された場合、以下のような被害が想定されます。
登録ユーザー情報の閲覧
- サイトに登録されているユーザーの一覧と、氏名・メールアドレス・登録住所などの情報が取得される
アカウント情報の書き換えによる乗っ取り
- 管理者アカウントのログイン用の情報が書き換えられ、そのアカウントでサイトにログインされる
- アカウントに設定されている権限（ロール）そのものを変更される可能性
管理者アカウントを奪われた場合、サイトの設定変更やコンテンツの改ざんなど、管理画面から行える操作が可能になります。
ユーザーアカウントの削除
- 登録されているユーザーが削除され、該当ユーザーがサイトを利用できなくなる
被害発生の条件
以下の条件が重なった場合に、被害が発生する可能性があります。
- 攻撃者が、サイトに出店者（ベンダー）として登録され、ログインしている
- 出店者の登録を一般に開放しているサイトでは、攻撃者自身がこの条件を満たすことが可能です
なお、管理者や他の利用者が何らかの操作を行う必要はなく、攻撃者側の操作だけで成立します。
技術的な詳細
Dokanは、出店者が自分の顧客を管理できるようにするため、WooCommerceが備えている顧客管理用のAPIを、Dokan独自の窓口として作り直して提供していました。
このとき、WooCommerce本来の「ショップ管理権限を持っているか」という確認を「出店者であるか」という確認に置き換えていましたが、この確認では操作を行う本人の権限しか見ていませんでした。
操作の対象として指定されたユーザーが、その出店者と取引のある顧客なのか、それとも無関係な利用者や管理者なのかを判定する処理が存在しなかったため、出店者であれば任意のユーザーを対象にできる状態でした。
加えて、この処理の実行中はWooCommerce側の権限確認の結果を一律で「許可」に上書きする実装になっていたため、本来行われるはずの確認も働かない状態になっていました。
対策版（5.0.3）での修正内容
- 操作対象のユーザーが、管理権限を持つアカウントや他の出店者でないかを確認する処理の追加
- 操作対象が、その出店者と取引実績のある顧客に限られるかを確認する処理の追加
- このAPIを通じて、ユーザーの権限（ロール）そのものを変更する指定を受け付けないようにする制限の追加
- 顧客一覧の取得結果を、自分の顧客だけに絞り込む処理の追加
攻撃の流れ（概要）
模倣を防ぐため、詳細は伏せた形で記載します。出店者アカウントでログインした状態から、次の手順で成立します。
- 顧客管理用のAPIを利用して、サイトに登録されているユーザーの一覧を取得する
- 対象とするユーザーを指定して、情報を更新するリクエストを送信する
- 書き換えたアカウントを使ってサイトにログインする
脆弱性の種類
推奨対応事項
該当バージョンのプラグインをご利用の場合、以下の対応を強く推奨します。
- プラグインの更新
- 速やかに、プラグインを対策バージョン（5.0.3 以降）へ更新してください。
- 被害確認
- WordPress管理画面の「ユーザー」メニューで、身に覚えのない管理者（Administrator）権限やショップマネージャー権限のアカウントが存在しないか確認してください。
- 管理者アカウントのメールアドレスが、意図せず変更されていないか確認してください。
メールアドレスを書き換えられると、パスワードの再設定通知が攻撃者側に届くようになります。 - 出店者（ベンダー）の一覧を確認し、登録した覚えのないアカウントがないか確認してください。
本脆弱性は出店者アカウントがあって初めて成立するため、不審な出店者登録は重要な手がかりになります。 - Webサーバーのアクセスログを保存している場合は、「dokan/v1/customers」という文字列を含むリクエストを検索してください。
一覧の取得は通常の運用でも記録されます。着目していただきたいのは、末尾にユーザーの識別番号が付いた形で、情報の更新や削除を行うリクエスト（閲覧以外のもの）が記録されていないかという点です。
- 追加のセキュリティ対策
- 出店者の新規登録を一般開放している場合は、一時的に停止する、または管理者の承認制にすることをご検討ください。
攻撃の前提となる出店者アカウントの取得を防ぐうえで有効です。 - 管理者アカウントのパスワードを変更し、可能であれば二要素認証を有効にしてください。
- 出店者の新規登録を一般開放している場合は、一時的に停止する、または管理者の承認制にすることをご検討ください。
⇒身に覚えのない管理者アカウントや、管理者情報の意図しない変更が確認された場合は、WordPressの専門家などへの相談を推奨します。
影響を受けるバージョン
Dokan 5.0.2 までのバージョン
脆弱性情報 (CVE-ID)
CVE-2026-8761 
（公開日 2026年8月5日 更新日 2026年8月5日）
脆弱性の深刻度 (CVSS v3)
基本値: 8.8 (重大) [Wordfence]
脆弱性脅威度(EPSS)
CVE-2026-8761 悪用確率 0.69% （上位47%） 2026年11月5日時点
ソフトウェア脆弱性情報の著作権に関する注意事項
This record contains material that is subject to copyright.
Copyright 2012-2026 Defiant Inc.
License: Defiant hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute this software vulnerability information. Any copy of the software vulnerability information you make for such purposes is authorized provided that you include a hyperlink to this vulnerability record and reproduce Defiant’s copyright designation and this license in any such copy. Read more.
Copyright 1999-2026 The MITRE Corporation
License: CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE’s copyright designation and this license in any such copy. Read more.
「WordPressセキュリティ保守」をご利用のお客様へ
WordPress
Dokan プラグインをご利用中のお客様には、対策バージョンへの更新状況および推奨対応事項について、順次メールにてご案内しております。
