WordPress プラグイン Mobile builder で購読者が管理者権限を得られる問題（CVE-2026-104799）: CVSS v3.1 8.8、1.4.2 以前が対象

WordPress 向けプラグイン Mobile builder（開発元 rnlab）の 1.4.2 以前に、ログインしている最下位の購読者（Subscriber）権限の利用者が、自分のアカウントを管理者に昇格できる問題（CVE-2026-104799）が、2026-11-04 に NVD へ登録されました。登録元は Wordfence で、NVD の状態は「Deferred」（評価の保留）です。

何が起きるか

• 対象は、REST API の POST /mobile-builder/v1/wcfm-profile-settings を処理する関数 wcfmmp_profile_settings() です。
• この API の権限確認（permission_callback）は、利用者が存在するかどうかしか見ていません。ログインしていれば、購読者でも呼び出せます。
• 呼び出し時に渡す key と data は、書き換えてよい項目かどうかを strpos( $key, 'mobile_builder' ) == 0 で確認しています。PHP では、該当する文字列が見つからないと strpos() が false を返し、false == 0 が真になります。つまり、mobile_builder を含まない任意の項目名がこの確認を通ります。
• 通った値は、そのまま update_user_meta() に渡されます。攻撃者は自分のアカウントのメタ情報、たとえば権限を決める wp_capabilities を書き換え、Administrator 権限を得られます。
• 攻撃の前提は、購読者以上のアカウントを持っていることです。会員登録を自由に受け付けているサイトでは、このハードルが低くなります。

数値と severity

• CVSS v3.1 は 8.8（HIGH）。ベクターは AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H です。
• 攻撃にはログイン済みのアカウント（PR:L）が必要で、CVSS も 9 未満のため critical にはせず、severity は high とします。
• CWE は CWE-269（不適切な権限管理）です。
• EPSS と CISA の KEV は本記事の作成時点で未確認です。

影響を受ける製品

• WordPress プラグイン Mobile builder（rnlab）の 1.4.2 以前のすべての版（NVD の affected 情報）。

対策

• 修正された版の番号は確認できていません。プラグインの配布ページと、Wordfence の脆弱性情報を確認してください。
• 一般的な対応として、修正版が出るまでは該当プラグインを無効にすること、会員登録を開放しているサイトでは不要なアカウントや、権限が不自然に変わったアカウントがないかを確かめることが考えられます（公式の指示ではありません）。

未確認の点

• 修正済みの版番号と、回避策の有無。
• 実際の悪用の有無、攻撃コードの公開状況。
• この API が有効になる条件（WCFM 連携の設定など）と、実際に影響を受けるサイトの規模。
• NVD の最終評価、EPSS、KEV の掲載状況。

出典

• NVD: CVE-2026-104799
• Wordfence Intelligence: Mobile builder の脆弱性情報