検索NeSC を見る
脆弱性・CVE速報深刻度: 高

WordPress Easy Digital Downloads の CVE-2026-120538: PayPal ゲスト決済で管理者アカウントを乗っ取られる恐れ（3.7.2 以前）

World Security 編集部
目次（5）

CVE-2026-120538

WordPress 用の電子商取引プラグイン Easy Digital Downloads（EDD）の 3.7.2 以前に、認証を回避して管理者アカウントを乗っ取られうる脆弱性（CVE-2026-120538）が見つかりました。PayPal のゲスト決済で入力したメールアドレスが本人確認の代わりに信頼され、そのメールアドレスを持つ既存ユーザー（管理者を含む）としてログイン状態になりうる、という内容です。CVSS v3.1 は 8.1（攻撃条件が複雑なため）で、認証は不要ですが 9 未満のため、本サイトでは high としています。CISA KEV には掲載されていません。

概要

項目内容
対象WordPress プラグイン Easy Digital Downloads 3.7.2 以前（NVD の範囲）
問題認証の不備（CWE-287）。ゲスト決済のメールアドレスが既存ユーザーと一致すると、注文がそのユーザーに紐づけられ、PayPal の決済完了後にそのユーザーとしてログイン用のセッションが発行される
攻撃条件ネットワーク経由。認証不要（PR:N）、ユーザー操作は不要。ただし攻撃条件は複雑（AC:H）。対象の管理者に EDD の顧客レコードがない場合に成立すると説明されている
結果管理者アカウントの乗っ取り（機密性・完全性・可用性への高い影響）
到達経路通常の PayPal 決済のほか、REST の UnbrandedCard・Fastlane の各フローからも同じ処理に到達しうる
悪用状況CISA KEV への掲載なし。実際の攻撃は未確認

仕組み

NVD の説明では、PayPal のゲスト決済で入力したメールアドレスが一致する既存の WordPress ユーザーに、新しい注文が紐づけられます。その後、決済の完了処理が注文のメールアドレスでユーザーを引き、注文のユーザー ID と一致すればログイン用のセッションを発行します。未認証の攻撃者が管理者のメールアドレスでゲスト決済を始め、PayPal の購入手順を完了すると、その管理者としてのセッションを受け取る可能性があります。

対策

  • EDD を、脆弱性が修正された版へ更新する（修正版の正確な番号は未確認。ベンダーの更新情報を確認する）。
  • 更新できるまでの間は、PayPal 決済（ゲスト決済を含む）の無効化や、ゲスト決済の停止を検討する。
  • 管理者アカウントの不審なログイン、見覚えのない管理者・プラグイン・テーマの追加、設定変更がないかを確認する。
  • 管理者のメールアドレスが販売サイトの顧客として公開・推測されやすい場合は、管理用アカウントのメールアドレスを分けることを検討する。

数値と出典（2026-11-03 時点）

項目内容
NVD の状態Deferred（2026-11-03 公開）
CVSS v3.18.1（Wordfence による。AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H）
EPSS未算出（FIRST に該当データなし、2026-11-03 時点）
CISA KEV掲載なし
出典NVD、Wordfence、WordPress プラグインディレクトリ、FIRST

未確認の点

  • 修正版の正確な番号と、回避策の効果。
  • 実際の攻撃の有無、標的・規模・手口。
  • 成立条件（管理者に EDD の顧客レコードがない場合など）が実環境でどの程度当てはまるか。

この記事について

出典

この記事を共有

この記事の Markdown 版（LLM向け） ↗

関連記事