--- title: "WordPress Easy Digital Downloads の CVE-2026-120538: PayPal ゲスト決済で管理者アカウントを乗っ取られる恐れ（3.7.2 以前）" url: https://n-t-p.io/worldsecurity/articles/wordpress-easy-digital-downloads-paypal-guest-checkout-auth-bypass-cve-2026-120538 lang: ja kind: 速報 category: 脆弱性・CVE author: World Security 編集部 published: 2026年11月3日 updated: 2026年11月3日 severity: 高 cve: CVE-2026-120538 --- # WordPress Easy Digital Downloads の CVE-2026-120538: PayPal ゲスト決済で管理者アカウントを乗っ取られる恐れ（3.7.2 以前） > **TL;DR:** WordPress の Easy Digital Downloads 3.7.2 以前で、PayPal のゲスト決済のメールアドレスだけを根拠にログイン用セッションが発行され、管理者アカウントを乗っ取られうる（CVE-2026-120538、CVSS 8.1）。KEV 掲載なし。修正版へ更新し、管理者のログインを点検する。 **要点** - CVE-2026-120538 は PayPal ゲスト決済のメールアドレスが本人確認として信頼される認証の不備（CWE-287、PR:N、AC:H） - 対象は Easy Digital Downloads 3.7.2 以前。管理者アカウントの乗っ取りにつながりうる - CVSS 8.1 で 9 未満のため high。CISA KEV 掲載なし、EPSS は未算出 - 修正版の正確な番号・実際の攻撃の有無は未確認 WordPress 用の電子商取引プラグイン Easy Digital Downloads（EDD）の 3.7.2 以前に、認証を回避して管理者アカウントを乗っ取られうる脆弱性（CVE-2026-120538）が見つかりました。PayPal のゲスト決済で入力したメールアドレスが本人確認の代わりに信頼され、そのメールアドレスを持つ既存ユーザー（管理者を含む）としてログイン状態になりうる、という内容です。CVSS v3.1 は 8.1（攻撃条件が複雑なため）で、認証は不要ですが 9 未満のため、本サイトでは high としています。CISA KEV には掲載されていません。 ## 概要 | 項目 | 内容 | |---|---| | 対象 | WordPress プラグイン Easy Digital Downloads 3.7.2 以前（NVD の範囲） | | 問題 | 認証の不備（CWE-287）。ゲスト決済のメールアドレスが既存ユーザーと一致すると、注文がそのユーザーに紐づけられ、PayPal の決済完了後にそのユーザーとしてログイン用のセッションが発行される | | 攻撃条件 | ネットワーク経由。認証不要（PR:N）、ユーザー操作は不要。ただし攻撃条件は複雑（AC:H）。対象の管理者に EDD の顧客レコードがない場合に成立すると説明されている | | 結果 | 管理者アカウントの乗っ取り（機密性・完全性・可用性への高い影響） | | 到達経路 | 通常の PayPal 決済のほか、REST の UnbrandedCard・Fastlane の各フローからも同じ処理に到達しうる | | 悪用状況 | CISA KEV への掲載なし。実際の攻撃は未確認 | ## 仕組み NVD の説明では、PayPal のゲスト決済で入力したメールアドレスが一致する既存の WordPress ユーザーに、新しい注文が紐づけられます。その後、決済の完了処理が注文のメールアドレスでユーザーを引き、注文のユーザー ID と一致すればログイン用のセッションを発行します。未認証の攻撃者が管理者のメールアドレスでゲスト決済を始め、PayPal の購入手順を完了すると、その管理者としてのセッションを受け取る可能性があります。 ## 対策 - EDD を、脆弱性が修正された版へ更新する（修正版の正確な番号は未確認。ベンダーの更新情報を確認する）。 - 更新できるまでの間は、PayPal 決済（ゲスト決済を含む）の無効化や、ゲスト決済の停止を検討する。 - 管理者アカウントの不審なログイン、見覚えのない管理者・プラグイン・テーマの追加、設定変更がないかを確認する。 - 管理者のメールアドレスが販売サイトの顧客として公開・推測されやすい場合は、管理用アカウントのメールアドレスを分けることを検討する。 ## 数値と出典（2026-11-03 時点） | 項目 | 内容 | |---|---| | NVD の状態 | Deferred（2026-11-03 公開） | | CVSS v3.1 | 8.1（Wordfence による。AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H） | | EPSS | 未算出（FIRST に該当データなし、2026-11-03 時点） | | CISA KEV | 掲載なし | | 出典 | NVD、Wordfence、WordPress プラグインディレクトリ、FIRST | ## 未確認の点 - 修正版の正確な番号と、回避策の効果。 - 実際の攻撃の有無、標的・規模・手口。 - 成立条件（管理者に EDD の顧客レコードがない場合など）が実環境でどの程度当てはまるか。 ## 出典 - [NVD CVE-2026-120538](https://nvd.nist.gov/vuln/detail/CVE-2026-120538) — NIST NVD - [Wordfence 脆弱性情報](https://www.wordfence.com/threat-intel/vulnerabilities/id/f4250328-6d6c-4eb1-9ef2-334774c1d337?source=cve) — Wordfence - [Easy Digital Downloads（WordPress プラグインディレクトリ）](https://wordpress.org/plugins/easy-digital-downloads/) — WordPress.org - [FIRST EPSS](https://api.first.org/data/v1/epss?cve=CVE-2026-120538) — FIRST --- 出典: World Security（株式会社NTP） https://n-t-p.io/worldsecurity/articles/wordpress-easy-digital-downloads-paypal-guest-checkout-auth-bypass-cve-2026-120538