WordPress プラグイン Import and export users and customers で管理者権限に昇格できる問題（CVE-2026-120554）: CVSS v3.1 8.8、2.5.11 以前が対象

WordPress のプラグイン「Import and export users and customers」で、ユーザー作成の権限を持つ低権限の利用者が Administrator に昇格できる問題（CVE-2026-120554）が、2026-11-04 に NVD へ登録されました。登録元は Wordfence で、NVD の状態は「Deferred」です。

何が起きるか

• 定期取り込み（cron）の設定を保存する ACUI_Cron::save_settings() が、複数の設定値を先に書き込み、そのあとで権限の確認（拒否する場合は wp_die()）を行います。
• そのため、確認で拒否されても、定期取り込みの有効化フラグ、設定した利用者、取り込む CSV のパスは保存された状態で残ります。
• create_users 権限はあるが promote_users・edit_users 権限はない、委任された独自ロールの利用者が、この残った設定を使って取り込み対象の CSV を差し替えられます。
• 差し替えた CSV が、次の無人の定期実行で処理されると、攻撃者は Administrator に昇格できます。
• 成立には、管理者が以前に定期取り込みの設定を保存済みであること、次の定期実行までに正規の保存が入らないことが必要とされています。

数値と severity

• CVSS v3.1 は 8.8（HIGH）。ベクターは AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H です。
• 攻撃には認証（低権限の特定ロール）が必要で、CVSS も 9 未満のため、severity は high とします。
• CWE は CWE-863（不適切な認可）です。
• EPSS と CISA の KEV は本記事の作成時点で未確認です。

影響を受ける製品

• WordPress プラグイン「Import and export users and customers」の 2.5.11 以前（NVD の affected 情報）。

対策

• 参照情報に修正の変更履歴（changeset 3775652）が含まれますが、修正済みの版番号は確認できていません。
• プラグインを最新版へ更新し、Wordfence の脆弱性情報で修正版を確認してください。
• 一般的な対応として、create_users 権限を委任している独自ロールの有無と、定期取り込みの設定内容を見直すことが考えられます（公式の指示ではありません）。

未確認の点

• 修正済みの版番号と、回避策の有無。
• 実際の悪用の有無、攻撃コードの公開状況。
• 利用サイトでの実際の悪用の難しさ（委任ロールを使っているサイトの割合など）。
• NVD の最終評価、EPSS、KEV の掲載状況。

出典

• NVD: CVE-2026-120554
• Wordfence Threat Intelligence の脆弱性情報