--- title: "WordPress プラグイン Mobile builder で購読者が管理者権限を得られる問題（CVE-2026-104799）: CVSS v3.1 8.8、1.4.2 以前が対象" url: https://n-t-p.io/worldsecurity/articles/wordpress-mobile-builder-cve-2026-104799-wcfm-profile-settings-privilege-escalation lang: ja kind: 速報 category: 脆弱性・CVE author: World Security 編集部 published: 2026年11月7日 updated: 2026年11月7日 severity: 高 cve: CVE-2026-104799 --- # WordPress プラグイン Mobile builder で購読者が管理者権限を得られる問題（CVE-2026-104799）: CVSS v3.1 8.8、1.4.2 以前が対象 > **TL;DR:** WordPress プラグイン Mobile builder 1.4.2 以前で、REST API の権限確認が「ログイン済みか」しか見ず、メタ情報の許可リスト確認も PHP の緩い比較で素通りするため、購読者が自分の権限を Administrator に書き換えられる（CVE-2026-104799、CWE-269、CVSS v3.1 8.8）。修正版・悪用の有無は未確認。 **要点** - Mobile builder 1.4.2 以前の REST API（wcfm-profile-settings）で、購読者以上の利用者が自分のユーザーメタを書き換えられる（CVE-2026-104799）。 - 許可リストの確認が strpos() == 0 の緩い比較で、キー名に mobile_builder を含まなくても通る。wp_capabilities を書き換えれば管理者になれる。 - CVSS v3.1 は 8.8。ログイン済みアカウント（PR:L）が前提で、会員登録を開放しているサイトは影響が大きい。 - 修正版の番号と実際の悪用は未確認。プラグインの更新状況と Wordfence の情報を確認し、修正までは無効化を検討する。 WordPress 向けプラグイン Mobile builder（開発元 rnlab）の 1.4.2 以前に、ログインしている最下位の購読者（Subscriber）権限の利用者が、自分のアカウントを管理者に昇格できる問題（CVE-2026-104799）が、2026-11-04 に NVD へ登録されました。登録元は Wordfence で、NVD の状態は「Deferred」（評価の保留）です。 ## 何が起きるか - 対象は、REST API の `POST /mobile-builder/v1/wcfm-profile-settings` を処理する関数 `wcfmmp_profile_settings()` です。 - この API の権限確認（permission_callback）は、利用者が存在するかどうかしか見ていません。ログインしていれば、購読者でも呼び出せます。 - 呼び出し時に渡す `key` と `data` は、書き換えてよい項目かどうかを `strpos( $key, 'mobile_builder' ) == 0` で確認しています。PHP では、該当する文字列が見つからないと `strpos()` が `false` を返し、`false == 0` が真になります。つまり、`mobile_builder` を含まない任意の項目名がこの確認を通ります。 - 通った値は、そのまま `update_user_meta()` に渡されます。攻撃者は自分のアカウントのメタ情報、たとえば権限を決める `wp_capabilities` を書き換え、Administrator 権限を得られます。 - 攻撃の前提は、購読者以上のアカウントを持っていることです。会員登録を自由に受け付けているサイトでは、このハードルが低くなります。 ## 数値と severity - CVSS v3.1 は 8.8（HIGH）。ベクターは AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H です。 - 攻撃にはログイン済みのアカウント（PR:L）が必要で、CVSS も 9 未満のため critical にはせず、severity は high とします。 - CWE は CWE-269（不適切な権限管理）です。 - EPSS と CISA の KEV は本記事の作成時点で未確認です。 ## 影響を受ける製品 - WordPress プラグイン Mobile builder（rnlab）の 1.4.2 以前のすべての版（NVD の affected 情報）。 ## 対策 - 修正された版の番号は確認できていません。プラグインの配布ページと、Wordfence の脆弱性情報を確認してください。 - 一般的な対応として、修正版が出るまでは該当プラグインを無効にすること、会員登録を開放しているサイトでは不要なアカウントや、権限が不自然に変わったアカウントがないかを確かめることが考えられます（公式の指示ではありません）。 ## 未確認の点 - 修正済みの版番号と、回避策の有無。 - 実際の悪用の有無、攻撃コードの公開状況。 - この API が有効になる条件（WCFM 連携の設定など）と、実際に影響を受けるサイトの規模。 - NVD の最終評価、EPSS、KEV の掲載状況。 ## 出典 - NVD: CVE-2026-104799 - Wordfence Intelligence: Mobile builder の脆弱性情報 ## 出典 - [NVD CVE-2026-104799](https://nvd.nist.gov/vuln/detail/CVE-2026-104799) — NIST NVD - [Wordfence Intelligence: Mobile builder](https://www.wordfence.com/threat-intel/vulnerabilities/id/bc1a233e-ea62-4fb0-98eb-6b2aa893555d) — Wordfence --- 出典: World Security（株式会社NTP） https://n-t-p.io/worldsecurity/articles/wordpress-mobile-builder-cve-2026-104799-wcfm-profile-settings-privilege-escalation