WordPress 用プラグイン Uncanny Toolkit for LearnDash で、ログインの承認確認をすり抜けられる不具合（CVE-2026-119096）: 3.8.3 未満が対象

WordPress 用プラグイン「Uncanny Toolkit for LearnDash」のフロントエンドログインに、アカウントの承認確認（管理者による本人確認や停止）をすり抜けられる不具合（CVE-2026-119096、GHSA-c7cc-xqvj-xcq2）が公開されました。CVSS v3.1 は 9.8（Critical、Wordfence が付与）です。修正版は 3.8.3 です。ただし、悪用にはそのアカウントの正しいユーザー名（またはメール）とパスワードが必要です（下の「何が起きるか」を参照）。

何が起きるか

• このプラグインのログイン処理 uo_login_action() は、「管理者が承認するまでログインさせない」設定（手動の本人確認）がオンのとき、送られた email の値でアカウントを探し、未承認なら拒否します。
• 説明によると、この確認では加工前の文字列をそのまま get_user_by() に渡します。一方、実際のログインを行う wp_signon() は、WordPress 本体が内部で sanitize_user() をかけ、余分な文字を取り除いてから認証します。
• そのため、末尾に余分な文字を付けた値を送ると、確認側ではアカウントが見つからず確認が飛ばされ、ログイン側では本来のアカウントとして認証されます。
• 結果として、承認前のアカウントや、管理者が停止したアカウントに、すでに資格情報を知っている人がログインでき、有効なログイン用の cookie が発行されます（説明の記載）。資格情報を知らない相手のアカウントに入れる、という内容ではありません。
• 処理に必要な nonce は、認証なしで呼べる ult-refresh-nonce から同じ要求の中で取得できる、と説明されています。
• CISA の KEV には載っていません（10/31 時点の一覧）。

影響を受ける条件

項目	内容
対象	WordPress プラグイン「Uncanny Toolkit for LearnDash」3.8.2 以下
修正版	3.8.3（WordPress.org の更新日 2026-10-29）
弱点	CWE-287（不適切な認証）
評価	CVSS v3.1 は 9.8（ネットワーク・低複雑度・権限不要・ユーザー操作不要。機密性・完全性・可用性とも高）。付与元は Wordfence
NVD	Received（NVD 自身の評価はまだ。上の 9.8 は Wordfence の値）
GitHub Advisory	未レビューの勧告として登録（深刻度は critical、10/31 UTC）
EPSS	0.46%（10/31 時点、パーセンタイル 40.1%）
KEV	掲載なし

悪用に実際に効くのは、フロントエンドログインを使い、かつ手動の本人確認（承認制）を有効にしているサイトです（説明と修正内容からの読み取り）。この設定を使っていないサイトでは、本記事の経路で突破される確認自体がありません。

修正の中身

3.8.2 と 3.8.3 の配布物を比べて確認しました。3.8.3 では、uo_login_action() が sanitize_user() をかけた値を先に作り、ユーザーの検索（ユーザー名、続けてメール）と承認確認に、wp_signon() が実際に使う値と同じものを使うように変わっています。さらに、wp_signon() が実際に解決したユーザーに対しても承認確認をかける処理が加わっています。3.8.3 の更新履歴には「Manual User Verification could be bypassed for accounts with valid credentials」の項目があります。同じ版には、2 要素認証（WP 2FA）との連携で第二要素が完全に適用されないまま完了しうる不具合の修正も入っていますが、この記事では CVE-2026-119096 に関する部分だけを扱います。

対応

1. プラグインを 3.8.3 以上に更新します。
2. すぐ更新できない場合は、手動の本人確認と停止の運用を、ログイン処理だけに頼らない形で確認します。たとえば、停止したいアカウントはパスワードを変更するか、アカウントを削除します（本記事の推定の回避策です）。
3. 停止・未承認のはずのアカウントで、承認の記録のない有効なログインがなかったか、ログインの記録を見直します（本記事の推定）。

未確認の点

• 悪用の報告は確認できていません。KEV にも載っていません。
• NVD は自身の評価をしていません。CVSS 9.8 は Wordfence の値です。
• 実際に影響を受けるサイトの数（導入数）は確認していません。
• 悪用に必要な設定の範囲（承認制のログインだけか）は、説明と修正内容からの読み取りで、実際の環境では確認していません。
• WordPress.org の公開トラッカー（変更履歴）には接続できず、修正の特定は 3.8.2 と 3.8.3 の配布物の比較によります。勧告が示す変更セット（3773997）の内容そのものは見ていません。
• 日付は、修正版は WordPress.org の記録、公開日は NVD と GitHub の記載に基づきます。
• 実際の環境での再現は行っていません。記載は NVD、GitHub の勧告、配布物の比較に基づきます。