WordPressのフロントエンド（サイトの公開画面側）で投稿やユーザー情報の作成・編集を行えるようにするプラグイン「Frontend Admin by DynamiApps」において、セキュリティ上の問題が確認されました。影響を受けるのは、バージョン 3.29.12 までのすべてのバージョンです。
本脆弱性を悪用された場合、第三者が本来は権限を持たない投稿やユーザー情報を読み取ったり、書き換えたりするおそれがあります。
対策として、バージョン 3.29.13 以降への更新を推奨します。
脆弱性詳細
問題があるのは、フォームを画面に読み込む処理です。このプラグインで作成したフォームをサイトに設置している場合が対象となります。
攻撃はフォームの表示と送信を通じて行われ、サイト運営者の操作は必要ありません。
想定される被害
この脆弱性が悪用された場合、以下のような被害が想定されます。
- 本来は編集権限のない投稿や、カテゴリー・タグなどの分類項目について、フォームに配置されている入力項目の内容を読み取られ、書き換えられる
- フォームの初期表示を通じて、他のユーザー（サイト管理者を含む）のメールアドレスやログイン名（ユーザー名）を読み取られる
- 他のユーザー（サイト管理者を含む）のログイン名・表示名・プロフィール文を書き換えられる（ログイン名が変更されると、それまでのユーザー名ではログインできなくなります）
被害発生の条件
以下の条件が重なった場合に、被害が発生する可能性があります。
- このプラグインで作成したフォームが、サイトに1つ以上設置されている
- 攻撃者がそのフォームを表示できる状態にある（一般公開しているフォームであればログインは不要。公開していない場合でも、サイトに登録済みの低権限ユーザー（購読者レベル）であれば成立）
フォームの設定内容にかかわらず成立するため、特別な設定を有効にしているかどうかは影響しません。
技術的な詳細
本脆弱性は、編集対象を指定する値の検証と、その値に対する権限確認の両方に不備があったことが原因です。
編集対象を送信データ側で決めていた
このプラグインのフォームは「どの投稿を編集するか」を、送信データに含まれる値で決める仕組みになっています。フォームを画面に動的に読み込む処理では、この値が正しい形式かどうかを確認しないまま受け取っていました。
権限確認が「数字のとき」にしか行われなかった
受け取った値に対して「操作している人がその対象を編集してよいか」を確認する処理は、値が数字である場合にのみ実行されていました。数字以外の値を指定すると、確認処理を通らずにそのまま先へ進んでしまいます。
数字以外の値も、内部では有効な指定として扱われた
プラグインの内部では、数字以外の形式の値も「特定の投稿」や「特定のユーザー」を指す表記として解釈されます。そのため、権限確認を回避したまま、狙った対象を編集対象として指定できる状態になっていました。
指定された値が、正規の値として保持された
フォームに埋め込まれる編集対象の指定値は、改ざん防止のために暗号化された状態で保持されます。しかし上記の経路では、検証されていない値がそのまま暗号化されるため、以降の送信では正規の指定として扱われました。
対策版では、（1）フォームを動的に読み込む際に指定値が数字であることを確認する、（2）数字以外の値は編集対象として扱わない、（3）編集対象に対する権限確認を確実に実行する、という修正が行われています。
脆弱性の種類
推奨対応事項
該当バージョンのプラグインをご利用の場合、以下の対応を強く推奨します。
- プラグインの更新
- 速やかに、プラグインを対策バージョン（3.29.13 以降）へ更新してください。
- WAF（Web Application Firewall：不正な通信を検知・遮断する仕組み）を導入していれば、本脆弱性を狙うリクエストの遮断に一定の効果があります。ただし確実に防げるわけではないため、根本的な対策となる更新を優先してください。
- 被害確認
- WordPress管理画面の「ユーザー」を開き、各アカウントのユーザー名・表示名・プロフィール情報に、身に覚えのない変更がないか確認してください。特にサイト管理者のアカウントをご確認ください。
- WordPress管理画面の「Frontend Admin」→「Submissions」（フォームの送信記録）を開き、身に覚えのない送信記録が残っていないか確認してください。送信記録の保存は初期設定で有効になっています。
- フォームから編集できるようにしている投稿や分類項目について、入力項目の内容が意図せず変わっていないか確認してください。
- 更新までの間の緩和策
- すぐに更新できない場合は、フォームの公開範囲を、ログイン済みのユーザーだけが表示できる設定に変更すると、ログインしていない第三者からの到達を防げます。ただし登録済みユーザーからの悪用は防げないため、暫定的な措置としてご利用ください。
⇒ 身に覚えのないアカウント情報の変更や、投稿内容の改ざんが確認された場合は、WordPressの専門家などへの相談を推奨します。
影響を受けるバージョン
Frontend Admin by DynamiApps 3.29.12 までのバージョン
脆弱性情報 (CVE-ID)
CVE-2026-75816 
（公開日 2026年9月6日 更新日 2026年9月6日）
脆弱性の深刻度 (CVSS v3)
基本値: 9.8 (緊急) [Wordfence]
脆弱性脅威度(EPSS)
－
ソフトウェア脆弱性情報の著作権に関する注意事項
This record contains material that is subject to copyright.
Copyright 2012-2026 Defiant Inc.
License: Defiant hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute this software vulnerability information. Any copy of the software vulnerability information you make for such purposes is authorized provided that you include a hyperlink to this vulnerability record and reproduce Defiant’s copyright designation and this license in any such copy. Read more.
Copyright 1999-2026 The MITRE Corporation
License: CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE’s copyright designation and this license in any such copy. Read more.
「WordPressセキュリティ保守」をご利用のお客様へ
WordPress
Frontend Admin by DynamiApps プラグインをご利用中のお客様には、対策バージョンへの更新状況および推奨対応事項について、順次メールにてご案内しております。
