WordPress プラグイン Kirki 6.4.1 未満でページ API の権限確認が不足（CVE-2026-112347、CVSS v3.1 7.6）: Editor ロールが他人の投稿の公開状態まで変更可能、6.4.1 で修正

NVD は 2026-10-30 に、WordPress プラグイン Kirki の 6.4.1 より前の版に、オブジェクト単位のアクセス制御の不備（CVE-2026-112347、CWE-862）を登録しました。ページ用の REST API（PUT /wp-json/kirki/v1/pages/{page_id}）と、PageController.php の保存・複製・削除の処理が、ロールごとの大まかな確認だけで、投稿ごとの WordPress の権限確認を行っていません。Kirki の編集権限を持つユーザー（既定では Editor ロール）が、自分のものではない任意の投稿（カスタム投稿タイプや WooCommerce の商品を含む。ごみ箱にあるものを除く）のタイトル、スラッグ、公開状態を変更できます。公開状態（post_status）に制限がないため、非公開や下書きの内容を公開したり、公開中の内容を取り下げたりできます。登録元（CNA）は VulnCheck で、CVSS は v3.1 が 7.6（HIGH）、v4.0 が 7.2（HIGH）です。

何が起きるか

• 対象は Kirki（WordPress プラグイン）の 6.4.1 より前の版です（NVD の記述）。
• 呼び出すには、サイトにログインした、Kirki の編集権限を持つアカウントが必要です。既定で Editor ロールにこの権限が付与されます。未ログインの第三者が直接成立させられる経路は、NVD の記述にはありません。
• 変更できるのは、対象の投稿のタイトル、スラッグ、公開状態です。ページ以外の投稿タイプや商品にも及びます。
• 公開状態を変えられるため、下書きや非公開の内容が公開される（機密性への影響は低〜限定的）、公開中のページや商品が非表示になる（完全性・可用性への影響）といった結果になり得ます。スラッグの書き換えで、URL が変わり外部からのリンクが切れる影響も考えられます（推定）。
• コードの実行や、サーバー上のファイルの読み書きは示されていません。

修正の状況

• 修正版は 6.4.1 です。WordPress.org のプラグインページでは、2026-11-02 時点の最新版が 6.4.1（最終更新 2026-10-28）と表示されています。
• NVD の参照先は WordPress.org のプラグインの開発者向けページ（変更履歴）と VulnCheck の勧告です。変更履歴の個別の記載内容までは確認していません。

数値と出典（2026-11-02 時点）

CVE	対象	必要な権限	CVSS v3.1	CVSS v4.0	CWE	EPSS
CVE-2026-112347	Kirki 6.4.1 未満	Kirki の編集権限（既定は Editor）	7.6	7.2	CWE-862	0.28%（2026-11-01 付）

• NVD の状態は Deferred（保留）で、NVD 自身の評価はありません。CVSS は VulnCheck（CNA）の値です。v3.1 のベクターは AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:H/A:L、v4.0 のベクターは AV:N/AC:L/AT:N/PR:L/UI:N/VC:L/VI:H/VA:L/SC:N/SI:N/SA:N です。
• EPSS（FIRST）は 0.28% で、パーセンタイルは 0.21（2026-11-01 付）です。
• KEV（CISA の悪用確認済みカタログ）には掲載がありません（2026-11-02 取得）。CISA の SSVC 評価（2026-10-30 付）は、悪用 none、自動化 no、技術的影響 partial です。
• 悪用の有無は確認できていません。公開された検証コードは確認していません。

severity を high とした理由

ログインした Editor 相当のアカウントで、他人の投稿を含むコンテンツの公開状態を書き換えられ、CVSS v3.1 は 7.6、v4.0 は 7.2 です。一方、未認証では成立せず、コード実行やデータの大量取得は示されておらず、EPSS は 0.28% と低く、KEV にも載っておらず、悪用も確認していません。修正版 6.4.1 が出ています。編集者アカウントを多数発行しているサイトでは影響が大きくなります。以上から high としています。

対応として考えられること

1. WordPress の管理画面（プラグイン一覧）で、Kirki を使っているか、版が 6.4.1 未満かを確認します。
2. 6.4.1 以降に更新します。自動更新が有効なら、適用済みかを確認します。
3. 更新できない間は、Editor など Kirki の編集権限を持つアカウントを必要な人に絞り、使っていないアカウントを無効にします（推定）。
4. 投稿の公開状態やスラッグが意図せず変わっていないか、更新履歴や監査ログがあれば確認します。公開前の下書きが公開されていないかも見ます（推定）。
5. 管理画面や REST API への不審なアクセスがないか、Web サーバーのログで /wp-json/kirki/v1/pages/ への PUT などを見ます（推定）。

未確認の点

• 実際の攻撃での悪用は確認していません。
• 6.4.1 の変更履歴の個別の内容、および 6.4.1 より前のどの版から影響を受けるかは、個別には確認していません（NVD の記述は「before 6.4.1」）。
• 回避策（修正版に更新できない場合）の公式な案内は確認できていません。
• NVD 自身の評価は未実施（Deferred）です。