会員管理プラグイン「ProfilePress」において、ショートコード（[ ] で囲んで記述し、WordPressの機能を呼び出す仕組み）を不正に実行される脆弱性が確認されました。影響を受けるのは、バージョン 4.17.4 以前です。
悪用された場合、登録済みの低権限ユーザー（購読者等）や、会員登録が開放されている環境の未登録第三者により、メンバーディレクトリ上で他の会員のメールアドレスやログイン名などが漏えいする可能性があります。
速やかに対策バージョン（4.17.5 以降）へのアップデートを推奨します。
脆弱性詳細
ユーザーが入力したプロフィール項目（ニックネーム、自己紹介文）を、フロントエンドのプロフィール画面やメンバーディレクトリに表示する処理に起因します。
攻撃者は、新規登録時やプロフィール編集時の入力欄を通じて悪意あるコードを仕込みます。
想定される被害
攻撃が成立した場合、以下の被害が発生する恐れがあります。
- 他会員情報の漏えい：メンバーディレクトリ上に、非公開設定のメールアドレス、ログイン名、登録日が出力される（ログイン名の漏えいはパスワード総当たり攻撃等の足がかりとなるリスクがあります）。
- 閲覧者の不正転送：攻撃者のプロフィールやメンバーディレクトリを閲覧したユーザーが、悪意ある外部サイトへ自動的に転送される。
- 不正コンテンツの表示：サイト上に任意の外部リンクや画像が埋め込まれる。
発生条件
以下の条件を満たす場合に、被害が発生する可能性があります。
- 「ドラッグ＆ドロップビルダー」で作成したプロフィールページまたはメンバーディレクトリを公開している
- 攻撃者が会員登録済み、またはWordPressの「だれでもユーザー登録ができるようにする」が有効化されている
※会員情報の漏えいは、メンバーディレクトリを公開している場合に発生します。
技術的な詳細
ショートコード除去処理の不備と、表示時にショートコードを再度処理していたことが主な原因です。
除去処理の不備
[ と ] が対になった完全なショートコードのみを除去対象としていたため、分割入力された断片はそのままデータベースへ保存されていました。
表示時の連結・再実行
プロフィールやメンバーディレクトリの出力時、各項目の値を1つにまとめた後、全体にもう一度ショートコード処理を行っていました。これにより、別々の項目に保存された断片が連結され、会員情報表示やページ転送用のショートコードとして実行されていました。
他会員情報が出力される理由
メンバーディレクトリでは会員を1人ずつ順に表示し、そのたびに表示対象の会員が切り替わります。全体へのショートコード処理は一覧の表示が終わった後に行われるため、仕込まれたショートコードは攻撃者本人ではなく一覧内の別の会員の情報を出力していました。
悪用の大まかな流れ
- ニックネームと自己紹介文にショートコードの断片を分割して登録・保存
- メンバーディレクトリまたはプロフィールページにアクセス
- 断片が結合してショートコードとして実行され、他会員情報の露出や外部サイトへの転送が発生
（模倣防止のため詳細は伏せています）
対策版での修正
バージョン 4.17.5 では、プロフィール項目の表示時に [ および ] を記号として表示されるだけの文字に変換し、ショートコードとして処理されないよう修正されています。
脆弱性の種類
CWE-94 コード・インジェクション 
（ショートコードの挿入）
推奨対応事項
該当製品をご利用の場合、以下の対応を実施してください。
- プラグインの更新
- 速やかに対策バージョン（4.17.5 以降）へ更新してください。
- 被害状況の確認
- 不審な文字列の確認：管理画面「ユーザー」一覧から各ユーザーの「ニックネーム」「プロフィール情報」を確認し、[ で始まる文字列や不自然な英数字の羅列がないか調査します。
- データベース検索：対象数が多い場合、
wp_usermetaテーブルのnicknameまたはdescriptionを対象に、「pp-custom-html」や「pp-redirect」を含むレコードを検索してください。 - 表示の確認：メンバーディレクトリやプロフィール画面を開き、意図しない外部転送、不審なリンク・画像、非公開情報の表示がないか確認します。
- 不審アカウントへの対処：不正な値が見つかった場合は、該当項目を修正するか、アカウントを削除してください。
- セキュリティ対策の強化（任意）
- 会員登録が不要な場合は、「設定」→「一般」の「だれでもユーザー登録ができるようにする」を無効化してください。
- WAF（Web Application Firewall：不正な通信を検知・遮断する仕組み）の導入により不審な入力の検知・遮断が期待できますが、すべての攻撃を確実に防げるわけではないため、根本対策としてプラグインの更新を優先してください。
※不正なデータ改ざんや情報漏えいが確認された場合は、プラグイン更新とともに会員へのアナウンスや専門家への相談を検討してください。
影響を受けるバージョン
ProfilePress 4.17.4 以前
脆弱性情報 (CVE-ID)
CVE-2026-92536
（公開日 2026年10月3日 更新日 2026年10月3日）
脆弱性の深刻度 (CVSS v3)
基本値: 8.8 (重要) [Wordfence]
脆弱性脅威度(EPSS)
CVE-2026-92536 悪用確率 0.63% （上位50%） 2026年11月3日時点
ソフトウェア脆弱性情報の著作権に関する注意事項
This record contains material that is subject to copyright.
Copyright 2012-2026 Defiant Inc.
License: Defiant hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute this software vulnerability information. Any copy of the software vulnerability information you make for such purposes is authorized provided that you include a hyperlink to this vulnerability record and reproduce Defiant’s copyright designation and this license in any such copy. Read more.
Copyright 1999-2026 The MITRE Corporation
License: CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE’s copyright designation and this license in any such copy. Read more.
「WordPressセキュリティ保守」をご利用のお客様へ
WordPress
ProfilePress をご利用中のお客様には、更新状況および対応手順について順次メールにてご案内いたします。
本記事の作成について
本記事は、対象プラグインの公開ソースコードおよびバージョン間の差分を解析し、その結果に基づいて作成しています。
解析および文章作成の過程では生成AIを利用し、内容は当社の担当者が確認したうえで公開しています。
