WordPress プラグイン 3 種で管理者権限の奪取につながる欠陥（CVE-2026-103898・104012・120070、CVSS v3.1 8.1〜8.8）: 条件付きで悪用でき、修正版は 1 件のみ推定

NVD は 2026-10-31 に、WordPress プラグイン 3 種の脆弱性 3 件（CVE-2026-103898・CVE-2026-104012・CVE-2026-120070）を登録しました。いずれも登録元（CNA）は Wordfence で、認証の回避または権限の昇格によって、管理者や編集者など高い権限のアカウントを奪取できる、という内容です。CVSS v3.1 は 8.1・8.8・8.8 です。ただし 3 件とも、攻撃が成立するための前提（サイトの設定や、管理者の操作）が付いています。

3 件の内容

CVE	プラグイン（影響版）	弱点	必要な権限	成立の前提
CVE-2026-103898	Wp Social Login and Register Social Counter（3.2.2 以前）	認証の回避（CWE-287）	不要	Facebook または Twitter のログインが設定されている。攻撃者が、対象アカウントと同じメールアドレスを返す OAuth アカウントを持つ
CVE-2026-104012	Rox Appointment Booking（1.3.1 以前）	権限の昇格（mass assignment、CWE-269）	不要（管理者の操作が必要）	管理者が、細工された顧客レコードを開いて「更新」を押す。攻撃者が管理者のユーザー ID を知っているか推測できる（既定の 1 など）
CVE-2026-120070	User Frontend（4.3.13 以前）	権限の昇格（CWE-269）	購読者（Subscriber）以上	登録後の自動ログインが有効（既定）

各件の仕組み

• CVE-2026-103898（認証の回避）: ソーシャルログイン用の REST の入口が、誰でも呼び出せる設定になっています。OAuth の提供元から返ったメールアドレスだけで既存アカウントを特定し、パスワードの確認なしにログイン状態にします。メールアドレスが確認済みかを見る検査が、同梱の Facebook・Twitter 用の部品では実質的に働いていません。攻撃者は、狙う管理者と同じメールアドレスを返す OAuth アカウントを用意するだけで、そのユーザーとして認証されると説明されています。
• CVE-2026-104012（権限の昇格）: 予約用の公開 REST の入口が、リクエストの内容をそのまま顧客レコードに保存します。その際に、内部の列である wp_user_id まで攻撃者が指定できてしまいます。管理者が細工されたレコードを開いて更新すると、対象の管理者のメールアドレスが攻撃者のものに書き換わり、パスワード再設定の手順でアカウントを奪取できます。
• CVE-2026-120070（権限の昇格）: 投稿内容に含まれる登録フォーム用ショートコードの禁止検査が、制御文字（C0）を 1 バイト挟む細工で回避されます。購読者が、編集者（Editor）権限の登録フォームを公開ページに表示させ、そこから編集者アカウントを作れると説明されています。自動ログインが有効なら、作成直後から有効な権限付きの状態になります。

修正の状況

• CVE-2026-104012: 参照先に 1.3.2 の配布ファイルがあり、1.3.2 で修正されたと推定されます。変更内容は未確認です。
• CVE-2026-103898・CVE-2026-120070: 影響版は「以前」とされていますが、修正版の番号は NVD の説明にありません。参照先には、WordPress プラグインの変更履歴（changeset）があります。修正版の番号は未確認です。
• 3 件とも、ベンダーの勧告や回避策は確認できていません（2026-11-02 時点）。

数値と出典（2026-11-02 時点）

CVE	CVSS v3.1	ベクター	EPSS（FIRST、11/1 付）	KEV
CVE-2026-103898	8.1	AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H	0.44%	掲載なし
CVE-2026-104012	8.8	AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H	0.28%	掲載なし
CVE-2026-120070	8.8	AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H	0.30%	掲載なし

• NVD の状態は 3 件とも Received で、NVD 自身の評価はまだありません。CVSS は Wordfence（CNA）の値です。
• KEV（CISA の悪用確認済みカタログ）には 3 件とも掲載がありません（2026-11-02 取得、カタログの公開日は 2026-10-30）。

severity を high とした理由

3 件とも成功すると管理者または編集者のアカウントを奪取できる点は重大です。一方で、いずれも成立の前提（ソーシャルログインの設定、管理者の操作、既定の自動ログイン）が付いており、EPSS は 0.28〜0.44% と低く、KEV にも載っておらず、悪用は確認していません。このため critical にはせず、high としています。

対応として考えられること

1. 自社や顧客のサイトで、上記 3 つのプラグインを使っているか、版がいくつかを確認します。
2. Rox Appointment Booking は 1.3.2 以降に更新します（推定。変更内容は未確認）。ほかの 2 つは、プラグインの更新履歴で、影響版より新しい版が出ていないかを確認して更新します。
3. 更新できない間は、該当プラグインの一時停止を検討します。Wp Social Login は Facebook・Twitter のログイン設定を外す、User Frontend は登録後の自動ログインを無効にする、が緩和になりえます（推定）。
4. 管理者アカウントのメールアドレスやパスワードが、意図せず変更されていないかを確認します。新しい編集者・管理者アカウントが作られていないかも、ユーザー一覧で確認します。
5. 予約システムの顧客一覧に、見覚えのないレコードがないか確認し、不審なものは開いて更新しないようにします（推定）。

未確認の点

• 実際の攻撃での悪用は確認していません。
• CVE-2026-103898・CVE-2026-120070 の修正版の番号、CVE-2026-104012 の修正内容は未確認です。
• 緩和策の効果（対策 3）は推定です。
• NVD 自身の評価は未実施（Received）です。CVSS は CNA の値です。