ページ作成ツール「Elementor」に多数のパーツ（ウィジェット）を追加するプラグイン「Essential Addons for Elementor」において、セキュリティ上の問題が確認されました。影響を受けるのは、バージョン 6.7.1 までのすべてのバージョンです。
本脆弱性を悪用された場合、ログインしていない第三者に、管理者権限を持つ利用者アカウントを新規作成される可能性があります。
対策として、バージョン 6.7.2 以降への更新を推奨します。
なお、成立にはサイト側の設定がいくつか重なる必要があるため、条件に当てはまらないサイトでは影響を受けません。自サイトが該当するかどうかは、後述の「推奨対応事項」の手順で確認できます。
脆弱性詳細
本脆弱性は、本プラグインのログイン/登録フォーム（Login | Register Form）から会員登録が行われたときに、利用者アカウントを作成する処理に存在します。この処理は、プラグインの設定で追加したテキスト形式の独自プロフィール項目の入力値も受け取り、アカウントの情報として保存します。
影響を受けるのは、このフォームで会員登録を受け付けており、かつ独自プロフィール項目を設定しているサイトです。
想定される被害
攻撃者が会員登録を行うだけで、管理者権限のアカウントが作成されるおそれがあります。作成された場合は、次のような影響が想定されます。
- そのアカウントで管理画面にログインされ、投稿・固定ページ・利用者・プラグイン・各種設定の操作が行われる
- 不正なアカウントも通常の会員登録と同じ形で作成されるため、利用者一覧を確認するまで気づきにくい
発生の条件
以下がすべて重なった場合に成立します。
- 本プラグインのログイン/登録フォームを設置した公開ページがあり、会員登録を受け付けている
- WordPressの設定「メンバーシップ：だれでもユーザー登録ができるようにする」が有効になっている
- 本プラグインの設定で追加したテキスト形式のプロフィール項目に、WordPress本体が利用者の権限を指定するために使う名称と一致してしまう項目名が登録されている
攻撃者側にログインは不要で、管理者や利用者の操作も必要ありません。
なお、該当する項目を登録フォームに表示していない場合や、利用者プロフィール画面への表示を無効にしている場合でも、項目名が設定に登録されていれば成立します。また、登録フォーム側で付与する権限を指定している場合は、設定の状態によっては、その指定が優先されて成立しないことがあります。
技術的な詳細
本脆弱性は、会員登録時に組み立てるアカウント情報へ、独自プロフィール項目の入力値を「項目名をそのまま見出しにして」加えていたことが原因です。仕組みは次のとおりです。
- 独自プロフィール項目は、設定画面で入力した項目名を、表記を整えた内部的な名称として扱う
- 会員登録の際は、この内部的な名称と同じ名前で送られてきた入力値を、そのままアカウント作成用の情報に加える
- WordPress本体のアカウント作成処理は、渡された情報の中に自身が使う名称（利用者の権限を指定する項目など）が含まれていれば、それをアカウントの設定値として解釈する
- そのため、項目名の変換結果がWordPress本体の使う名称と重なっていると、独自プロフィール項目として送られた値が、そのままアカウントの権限として扱われる
また、登録するアカウントに既定の権限を割り当てる処理は「権限が指定されていない場合」にのみ動作するため、上記の経路で権限が指定されていると、そちらが優先されます。
対策版では、WordPress本体がアカウント作成時に使用する名称の一覧を用意し、変換結果がそれに一致する項目は独自プロフィール項目として扱わない処理が追加されました。
脆弱性の種類
推奨対応事項
該当バージョンのプラグインをご利用の場合、以下の対応を強く推奨します。
- プラグインの更新
- 速やかに、プラグインを対策バージョン（6.7.2 以降）へ更新してください。
- 更新までの間の一時的な緩和策として、次のいずれかが有効です。
・下記2.の手順で確認した「Text Type Fields」から、利用者の権限を表す名称の項目を削除するか、別の名称に変更する
・WordPressの「設定」→「一般」で「だれでもユーザー登録ができるようにする」を一時的に無効にする（会員登録を受け付けなければ、本脆弱性は成立しません）
- 被害確認
- はじめに、自サイトが条件に該当するかを確認します。WordPress管理画面の「Essential Addons」→「Elements」から「Login | Register Form」の設定（歯車アイコン）を開き、「Enable Custom Fields」の「Text Type Fields」に入力されている項目名をご確認ください。利用者の権限を表す名称の項目がなければ、本脆弱性による被害は発生していません。
- 該当する項目があった場合は、管理画面の「ユーザー」メニューで権限グループ「管理者」に絞り込み、身に覚えのないアカウントが存在しないか確認してください。登録日順に並べ替えると、最近追加されたアカウントを見つけやすくなります。
- あわせて、Webサーバーのアクセスログで、ログイン/登録フォームを設置したページに対するPOSTアクセスをご確認ください。正常な会員登録でも記録されるため、件数・送信元・時間帯が普段と異なっていないかという観点でご確認ください。
- 不審なアカウントが見つかった場合は、削除する前に登録日時を控え、同じ時間帯に投稿・プラグイン・設定の変更が行われていないかもあわせて確認してください。
⇒ 身に覚えのない管理者アカウントや、投稿・設定の変更が確認された場合は、WordPressの専門家への相談を推奨します。
影響を受けるバージョン
Essential Addons for Elementor 6.7.1 までのバージョン
脆弱性情報 (CVE-ID)
CVE-2026-18039 
（公開日 2026年8月14日 更新日 2026年8月14日）
脆弱性の深刻度 (CVSS v3)
基本値: 7.3 (重要) [Wordfence]
脆弱性脅威度(EPSS)
CVE-2026-18039 悪用確率 0.38% （上位69%） 2026年10月22日時点
ソフトウェア脆弱性情報の著作権に関する注意事項
This record contains material that is subject to copyright.
Copyright 2012-2026 Defiant Inc.
License: Defiant hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute this software vulnerability information. Any copy of the software vulnerability information you make for such purposes is authorized provided that you include a hyperlink to this vulnerability record and reproduce Defiant’s copyright designation and this license in any such copy. Read more.
Copyright 1999-2026 The MITRE Corporation
License: CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE’s copyright designation and this license in any such copy. Read more.
「WordPressセキュリティ保守」をご利用のお客様へ
WordPress
Essential Addons for Elementor プラグインをご利用中のお客様には、対策バージョンへの更新状況および推奨対応事項について、順次メールにてご案内しております。
