WordPressのフロントエンド（サイトの公開画面側）で投稿やユーザー情報の作成・編集を行えるようにするプラグイン「Frontend Admin by DynamiApps」において、セキュリティ上の問題が確認されました。影響を受けるのは、バージョン 3.29.12 までのすべてのバージョンです。
本脆弱性を悪用された場合、サイト側が想定していない権限を持つアカウントが作成されるおそれがあります。
対策として、バージョン 3.29.13 以降への更新を推奨します。
脆弱性詳細
問題があるのは、フォームから送信された権限（ロール：各ユーザーがサイト上でできる操作の範囲を決める設定）の値を受け取り、アカウントに反映する処理です。このプラグインで作成したユーザー登録フォーム、またはユーザー情報編集フォームをサイトに設置している場合が対象となります。
攻撃はフォームの送信を通じて行われ、サイト運営者の操作は必要ありません。
想定される被害
この脆弱性が悪用された場合、以下のような被害が想定されます。
- 購読者（閲覧のみ）を想定していたアカウントに、寄稿者相当の権限が設定される
- その結果、本来は閲覧だけだったアカウントから、記事の下書きの作成・編集・削除が行えるようになる
- 公開している会員登録フォームが対象の場合、攻撃者はログインしていない状態から、この権限を持つアカウントを新規に作成できる
- 独自の権限グループを追加しているサイトでは、その権限に設定された操作の範囲まで影響が及ぶ
なお、管理者・編集者・投稿者にあたる権限は、対象バージョンでも設定できないよう制限されていました。
被害発生の条件
以下の条件が重なった場合に、被害が発生する可能性があります。
- このプラグインで作成した、ユーザー登録またはユーザー情報編集のフォームがサイトに設置されている
- サイト内のいずれかのフォームに、権限を選ぶ項目が配置されている
- 攻撃者がそのフォームを表示できる状態にある（一般公開しているフォームであればログインは不要。公開していない場合でも、サイトに登録済みの低権限ユーザー（購読者レベル）であれば成立）
技術的な詳細
原因は、権限を設定する処理における次の2点です。
送信中のフォームに無い項目の設定が、そのまま使われた
このプラグインは、送信されてきた項目を見分けるための値をもとに、その項目の設定内容（どの権限を選択肢として許可するか、など）を読み込みます。このとき、送信中のフォームに存在しない項目であっても、サイト内の別のフォームに置かれた項目の設定を見つけて読み込んでしまう状態でした。
そのため、選択肢を購読者だけに絞ったフォームを送信する場合でも、より広い選択肢を許可している別のフォームの設定を持ち出して適用できる状態になっていました。
「強い権限」の判定に漏れがあった
このプラグインには、権限を他人に与える資格を持たない利用者が、強い権限を自分に設定できないようにする仕組みがあります。この判定は、対象の権限でどの操作ができるかをもとに行われますが、その一覧に記事の作成・編集・削除が含まれていませんでした。
そのため、これらの操作ができる権限が「強い権限ではない」と判定され、設定が通ってしまう状態でした。
対策版では、（1）権限を選ぶ項目は、送信中のフォームに実際に配置されているもののみを受け付ける、（2）判定対象に記事の作成・編集・削除などを追加する、という修正が行われています。
脆弱性の種類
推奨対応事項
該当バージョンのプラグインをご利用の場合、以下の対応を強く推奨します。
- プラグインの更新
- 速やかに、プラグインを対策バージョン（3.29.13 以降）へ更新してください。
- 被害確認
- WordPress管理画面の「ユーザー」を開き、権限グループの欄を確認してください。フォームで選択肢として用意していない権限（購読者のみを想定しているのに寄稿者になっている、など）のアカウントがないかが確認の目安です。
- 同じ画面で、登録日が新しく、身に覚えのないアカウントが増えていないか確認してください。
- WordPress管理画面の「Frontend Admin」→「Submissions」（フォームの送信記録）を開き、身に覚えのない送信記録が残っていないか確認してください。送信記録の保存は初期設定で有効になっています。
- 想定外の権限を持つアカウントが見つかった場合は、権限を本来のものに戻すか、アカウントを削除してください。あわせて、そのアカウントから投稿された下書きや記事が残っていないかご確認ください。
- 更新までの間の緩和策
- すぐに更新できない場合は、ユーザー登録・ユーザー情報編集のフォームについて、公開範囲を必要な利用者だけが表示できる設定に変更してください。フォームを表示できない相手からは、この脆弱性を利用できません。
- なお、この攻撃は通常のフォーム送信と同じ形式で行われるため、WAF（Web Application Firewall：不正な通信を検知・遮断する仕組み）を導入していても遮断できるとは限りません。根本的な対策となる更新を優先してください。
⇒ 想定外の権限を持つアカウントが確認された場合は、WordPressの専門家などへの相談を推奨します。
影響を受けるバージョン
Frontend Admin by DynamiApps 3.29.12 までのバージョン
脆弱性情報 (CVE-ID)
CVE-2026-66662 
（公開日 2026年8月6日 更新日 2026年8月6日）
脆弱性の深刻度 (CVSS v3)
基本値: 9.8 (緊急) [Wordfence]
脆弱性脅威度(EPSS)
CVE-2026-66662 悪用確率 0.55% （上位56%） 2026年10月7日時点
ソフトウェア脆弱性情報の著作権に関する注意事項
This record contains material that is subject to copyright.
Copyright 2012-2026 Defiant Inc.
License: Defiant hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute this software vulnerability information. Any copy of the software vulnerability information you make for such purposes is authorized provided that you include a hyperlink to this vulnerability record and reproduce Defiant’s copyright designation and this license in any such copy. Read more.
Copyright 1999-2026 The MITRE Corporation
License: CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE’s copyright designation and this license in any such copy. Read more.
「WordPressセキュリティ保守」をご利用のお客様へ
WordPress
Frontend Admin by DynamiApps プラグインをご利用中のお客様には、対策バージョンへの更新状況および推奨対応事項について、順次メールにてご案内しております。
WordPress プラグイン Frontend Admin by DynamiApps 情報
| セキュリティ告知 | このプラグインの公開は 2026-10-07 に停止されており、現在は、ダウンロードできません。 This plugin has been closed as of October 7, 2026 and is not available for download. This closure is temporary, pending a full review. |
|---|
本記事の作成について
本記事は、対象プラグインの公開ソースコードおよびバージョン間の差分を解析し、その結果に基づいて作成しています。
解析および文章作成の過程では生成AIを利用し、内容は当社の担当者が確認したうえで公開しています。
