Solaceテーマ向けの追加機能を提供するプラグイン「Solace Extra」において、セキュリティ上の問題が確認されました。影響を受けるのは、バージョン 1.6.0 までのすべてのバージョンです。
本脆弱性を悪用された場合、サイトに登録済みの低権限ユーザー（購読者レベル以上）が、本来は管理者だけが行えるサイト設定・コンテンツの操作を実行できる可能性があります。
対策として、バージョン 1.6.1 以降への更新を推奨します。
脆弱性詳細
本脆弱性は、デモサイトのインポート処理を呼び出す「受付窓口」（管理用のAJAX処理）に存在します。影響を受けるのは、当該プラグインを有効化しているサイトです。
攻撃者はサイトに登録済みの低権限ユーザー（購読者レベル以上）としてログインできれば十分で、管理者側の操作は必要ありません。この受付窓口へリクエストを送ることで悪用が行われます。
想定される被害
この脆弱性が悪用された場合、本来は管理者しか行えないサイトの初期化・インポート操作が、権限のない利用者によって実行されるおそれがあります。コード上で確認できる影響は次のとおりです。
- ナビゲーションメニューが削除される
- ウィジェットの配置設定が消去される
- テーマの配色などの外観設定（テーマ設定）が削除される
- インポートで作成されたElementorのテンプレートが削除される
- 外部から取得したデモ用コンテンツが意図せず取り込まれる
これにより、サイトの表示や設定が失われ、復旧作業が必要になる可能性があります。
技術的な詳細
本脆弱性は、デモインポートの受付窓口で、実行者が管理者権限を持つかどうかの確認が行われていなかったことが原因です。仕組みは次のとおりです。
- この窓口は、リクエストが正規のものかを確認する値（確認用コード＝nonce）だけを検証し、「その操作を行ってよい権限か」は判定していませんでした
- この確認用コードは、管理画面を表示できる利用者であれば取得でき、購読者レベルの低権限ユーザーも管理画面の一部を開いて取得できる状態でした
- そのため、権限のない低権限ユーザーでも、確認用コードさえ用意すれば管理者向けの処理を実行できました
- 加えて、この窓口は、ログインしていない利用者からのリクエストも受け付ける設定になっていました
対策版では、（1）ログインしていない利用者からの受付を廃止し、（2）処理の実行前に管理者権限の確認を追加する、という修正が行われています。
脆弱性の種類
推奨対応事項
該当バージョンのプラグインをご利用の場合、以下の対応を強く推奨します。
- プラグインの更新
- 速やかに、プラグインを対策バージョン（1.6.1 以降）へ更新してください。
- 被害確認
- サイトのナビゲーションメニュー・ウィジェット・テーマの配色などの設定が意図せず消えていないか、また見覚えのないコンテンツが取り込まれていないかを確認してください。
- Webサーバーのアクセスログで、管理用の受付先（
admin-ajax.phpのaction=action-import-zip）へのPOSTリクエストが無いか確認すると、悪用の痕跡を把握しやすくなります。
- セキュリティ対策の強化（任意）
- WAF（Web Application Firewall：不正な通信を検知・遮断する仕組み）を導入していれば、本脆弱性を狙うリクエストの遮断に有効です。ただし、WAFですべての攻撃を確実に防げるわけではないため、根本的な対策となるプラグインの更新を優先してください。
⇒ 身に覚えのない設定変更やコンテンツの消失・改変が確認された場合は、WordPressの専門家への相談を推奨します。
影響を受けるバージョン
Solace Extra 1.6.0 までのバージョン
脆弱性情報 (CVE-ID)
CVE-2026-18316 
（公開日 2026年8月16日 更新日 2026年8月17日）
脆弱性の深刻度 (CVSS v3)
基本値: 9.1 (緊急) [Wordfence]
脆弱性脅威度(EPSS)
CVE-2026-18316 悪用確率 0.60% （上位53%） 2026年10月7日時点
ソフトウェア脆弱性情報の著作権に関する注意事項
This record contains material that is subject to copyright.
Copyright 2012-2026 Defiant Inc.
License: Defiant hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute this software vulnerability information. Any copy of the software vulnerability information you make for such purposes is authorized provided that you include a hyperlink to this vulnerability record and reproduce Defiant’s copyright designation and this license in any such copy. Read more.
Copyright 1999-2026 The MITRE Corporation
License: CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE’s copyright designation and this license in any such copy. Read more.
「WordPressセキュリティ保守」をご利用のお客様へ
WordPress
Solace Extra プラグインをご利用中のお客様には、対策バージョンへの更新状況および推奨対応事項について、順次メールにてご案内しております。
