Elementorにウィジェット（ページを構成する部品）を追加するプラグイン「Essential Addons for Elementor」において、セキュリティ上の問題が確認されました。影響を受けるのは、バージョン 6.7.3 から 6.8.6 までです。
会員登録を管理者の承認制にしているサイトで、承認前の登録者がログインできてしまうおそれがあります。
対策として、バージョン 6.8.7 以降への更新を推奨します。
脆弱性詳細
本プラグインのログイン/登録フォーム（Login | Register Form）の会員登録処理に問題があります。
このフォームには、管理者が承認するまで登録者をログインさせない機能（Admin Approval）と、メールで届く確認コードで登録を確認する機能（Email OTP Verification）があります。両方を有効にしている場合、確認コードを経由した登録には承認制が適用されていませんでした。
想定される被害
この脆弱性が悪用された場合、以下のような被害が想定されます。
- 審査を通していない人物が、承認前に会員としてログインできる
- 会員向けページなど、ログインした利用者だけに公開している情報を閲覧される
- フォームで登録時の権限（New User Role）を投稿者や編集者などに設定している場合、その権限で投稿の作成・編集などができる
（管理者などサイト全体を管理できる権限は、もともと登録時に付与できないため対象外です）
被害発生の条件
以下をすべて満たすサイトが対象です。
- Login | Register Form で会員登録を受け付けている（WordPressの「だれでもユーザー登録ができるようにする」を有効にしている）
- 登録者を管理者が承認する機能（Admin Approval）を有効にしている
- 同じフォームで、確認コードによる登録確認（Enable OTP for Registration）を有効にしている
会員登録を受け付けていないサイトや、承認機能を使っていないサイトは影響を受けません。
技術的な詳細
承認機能は、登録者に「承認待ち」の印を付け、印のあるアカウントのログインを止める仕組みです。
問題点
- 通常の登録では、アカウント作成時にこの印を付けていた
- 確認コードを使う登録では、別の手順でアカウントを作成しており、印を付けていなかった
- ログイン時は印の有無だけを確認するため、印のないアカウントはそのままログインできた
- 登録後に自動でログインさせる設定がある場合は、承認機能の状態を確認せずにログインさせていた
攻撃の流れ（概要）
- 会員登録フォームから、攻撃者自身が受け取れるメールアドレスで登録を申し込む
- 届いた確認コードを入力して登録を完了する
- 管理者の承認を待たずにログインする
対策版での修正
確認コードを使う登録にも「承認待ち」の印を付け、承認機能が有効な間は自動ログインを行わないよう修正されました。あわせて、確認コードのメール送信回数に上限が設けられています。
脆弱性の種類
推奨対応事項
該当バージョンのプラグインをご利用の場合、以下の対応を強く推奨します。
- プラグインの更新
- 速やかに、プラグインを対策バージョン（6.8.7 以降）へ更新してください。
- なお、6.8.7 には別の脆弱性が確認されているため、6.8.8 以降への更新をおすすめします。
- 被害確認
- 管理画面の「ユーザー」一覧を開くと、Admin Approval が有効な場合は「Status」列が表示されます。
- 承認機能を経た登録者には「Pending（承認待ち）」「Approved（承認済み）」「Rejected（却下）」のいずれかが表示されます。本脆弱性で登録されたアカウントは「—」と表示されます。
- 「—」は承認機能を有効にする前からいる利用者にも表示されます。その中に、承認機能を有効にした後に登録された、身に覚えのないアカウントがないか確認してください。
- 更新しても、既に登録済みのアカウントは承認待ちに戻りません。該当するアカウントは、登録内容や作成された投稿を確認したうえで、削除するか権限を見直してください。
- 更新までの間の緩和策
- すぐに更新できない場合は、Login | Register Form の「Enable OTP for Registration」を一時的に無効にしてください。通常の登録手順に戻り、承認機能が働きます。
⇒ 不審なアカウントが確認された場合は、WordPressの専門家への相談を推奨します。
影響を受けるバージョン
Essential Addons for Elementor 6.7.3 から 6.8.6 までのバージョン
脆弱性情報 (CVE-ID)
CVE-2026-110508 
（公開日 2026年10月28日 更新日 2026年10月28日）
脆弱性の深刻度 (CVSS v3)
基本値: 7.3 (重要) [Wordfence]
脆弱性脅威度(EPSS)
CVE-2026-110508 悪用確率 0.27% （上位80%） 2026年11月5日時点
ソフトウェア脆弱性情報の著作権に関する注意事項
This record contains material that is subject to copyright.
Copyright 2012-2026 Defiant Inc.
License: Defiant hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute this software vulnerability information. Any copy of the software vulnerability information you make for such purposes is authorized provided that you include a hyperlink to this vulnerability record and reproduce Defiant’s copyright designation and this license in any such copy. Read more.
Copyright 1999-2026 The MITRE Corporation
License: CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE’s copyright designation and this license in any such copy. Read more.
「WordPressセキュリティ保守」をご利用のお客様へ
WordPress
Essential Addons for Elementor プラグインをご利用中のお客様には、対策バージョンへの更新状況および推奨対応事項について、順次メールにてご案内しております。
本記事の作成について
本記事は、対象プラグインの公開ソースコードおよびバージョン間の差分を解析し、その結果に基づいて作成しています。
解析および文章作成の過程では生成AIを利用し、内容は当社の担当者が確認したうえで公開しています。
