Elementorにウィジェット（ページを構成する部品）を追加するプラグイン「Essential Addons for Elementor」において、セキュリティ上の問題が確認されました。影響を受けるのは、バージョン 6.8.7 までのすべてのバージョンです。
悪用されると、ログインしていない第三者に、最大で編集者権限のアカウントを作成されるおそれがあります。
対策として、バージョン 6.8.8 以降への更新を推奨します。
※成立には特定の条件が必要です。自サイトが該当するかどうかは「推奨対応事項」の手順で確認できます。
脆弱性詳細
本プラグインのログイン/登録フォーム（Login | Register Form）の会員登録処理に問題があります。
このフォームには、登録者に付与する権限を指定する設定（New User Role）があります。この設定を一度変更して元に戻しても、第三者が細工した会員登録を行うと、変更していたときの権限で登録されてしまう状態でした。
想定される被害
編集者権限のアカウントが作成された場合、そのアカウントで次の操作が行われるおそれがあります。
- 他の利用者のものを含む投稿・固定ページの編集、公開、削除
- メディアのアップロード
- 投稿や固定ページへのスクリプトの埋め込み（閲覧者や管理者のブラウザで実行される可能性があります）
被害発生の条件
以下がすべて該当する場合に成立します。
- 「設定」→「一般」の「だれでもユーザー登録ができるようにする」が有効
- フォームを設置したページで、管理者が過去に「New User Role」を編集者などに変更して保存し、その後元に戻している
攻撃者のログインや、管理者・利用者の操作は必要ありません。
技術的な詳細
会員登録の際、プラグインは送信された「ページ番号」をもとに、そのページに保存されたフォームの設定（付与する権限など）を読み出します。
問題点
- ページ番号として、ページの保存履歴（リビジョン）の番号を指定しても受け付けていた
- リビジョンには、元に戻す前の設定がそのまま残っている
- 付与する権限を設定したのが管理者かどうかの確認も、管理者が保存したリビジョンであれば通過していた
- 送信に必要な安全確認用の値（nonce：正規の操作かを確かめる値）は、ログインしていない訪問者でも入手できた
このため、第三者がリビジョンの番号を指定して会員登録すると、元に戻す前の設定が使われていました。元に戻す前の設定でreCAPTCHA（自動登録を防ぐ仕組み）などが無効になっていた場合は、それらの確認も行われません。
対策版での修正
リビジョンや非公開ページの番号を受け付けないよう修正され、会員登録で付与できる権限もさらに制限されました。
脆弱性の種類
推奨対応事項
該当バージョンのプラグインをご利用の場合、以下の対応を強く推奨します。
- プラグインの更新
- 速やかに、プラグインを対策バージョン（6.8.8 以降）へ更新してください。
- すぐに更新できない場合は、「だれでもユーザー登録ができるようにする」を一時的に無効にしてください。
- 更新後、以前に設定した「New User Role」は、管理者がページを保存し直すまで反映されません。また、編集者など一部の権限は指定できなくなります。権限を指定して運用している場合は、登録後の権限をご確認ください。
- 被害確認
- 該当するかの確認：フォームを設置したページをElementorで開き、「履歴」→「リビジョン」で、「New User Role」が初期値以外だった時期がないか確認してください。なければ被害はありません。
- 不審なアカウントの確認：該当する時期があった場合は、「ユーザー」一覧を当時の権限（編集者など）で絞り込み、身に覚えのないアカウントがないか確認してください。
- 改ざんの確認：不審なアカウントがあれば、削除する前に、そのアカウントが作成・変更した投稿・固定ページ・メディアがないか、見覚えのないスクリプトやリンクが追加されていないかを確認してください。
⇒ 不審なアカウントや改ざんが確認された場合は、WordPressの専門家への相談を推奨します。
影響を受けるバージョン
Essential Addons for Elementor 6.8.7 までのバージョン
脆弱性情報 (CVE-ID)
CVE-2026-118205 
（公開日 2026年10月30日 更新日 2026年10月30日）
脆弱性の深刻度 (CVSS v3)
基本値: 7.4 (重要) [Wordfence]
脆弱性脅威度(EPSS)
CVE-2026-118205 悪用確率 0.47% （上位59%） 2026年11月1日時点
ソフトウェア脆弱性情報の著作権に関する注意事項
This record contains material that is subject to copyright.
Copyright 2012-2026 Defiant Inc.
License: Defiant hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute this software vulnerability information. Any copy of the software vulnerability information you make for such purposes is authorized provided that you include a hyperlink to this vulnerability record and reproduce Defiant’s copyright designation and this license in any such copy. Read more.
Copyright 1999-2026 The MITRE Corporation
License: CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE’s copyright designation and this license in any such copy. Read more.
「WordPressセキュリティ保守」をご利用のお客様へ
WordPress
Essential Addons for Elementor プラグインをご利用中のお客様には、対策バージョンへの更新状況および推奨対応事項について、順次メールにてご案内しております。
本記事の作成について
本記事は、対象プラグインの公開ソースコードおよびバージョン間の差分を解析し、その結果に基づいて作成しています。
解析および文章作成の過程では生成AIを利用し、内容は当社の担当者が確認したうえで公開しています。
