--- title: "WPO365 | LOGIN 45.2 より前の CVE-2026-122220: 署名済みの SAML 応答を再送すると、管理者を含む他人としてログインできる恐れ（CVSS v4.0 9.1・v3.1 7.4）" url: https://n-t-p.io/worldsecurity/articles/wpo365-login-cve-2026-122220-saml-replay-protection-bypass lang: ja kind: 速報 category: 脆弱性・CVE author: World Security 編集部 published: 2026年11月7日 updated: 2026年11月7日 severity: 高 cve: CVE-2026-122220 --- # WPO365 | LOGIN 45.2 より前の CVE-2026-122220: 署名済みの SAML 応答を再送すると、管理者を含む他人としてログインできる恐れ（CVSS v4.0 9.1・v3.1 7.4） > **TL;DR:** WordPress 用プラグイン WPO365 | LOGIN 45.2 より前で、SAML 応答の再送を防ぐ検査が働かず、署名済みの応答を入手した攻撃者が管理者を含む他人としてログインできる恐れ（CVE-2026-122220、CVSS v4.0 9.1・v3.1 7.4）。45.2 で修正とされる。 **要点** - 処理済み SAML メッセージ ID が保存されず、有効期間内なら同じ応答を何度でも再送できる恐れ。認証は不要だが、有効な署名済み応答の入手が前提。v3.1 7.4 のため high。 - 管理者を含む被害者としてログインでき、重複検査が働かないので検知もされない恐れ。修正版は 45.2。 - 悪用の有無、攻撃コード、EPSS、KEV、修正の中身、NVD の最終評価は未確認。 WordPress 用プラグイン WPO365 | LOGIN（wpo365-login）の 45.2 より前の版に、SAML 応答の再送（リプレイ）を防ぐ仕組みが働かない脆弱性 CVE-2026-122220 が公表されました。NVD への登録は 2026-11-04 で、状態は「Received」（NVD 自身の分析はまだ始まっていません）です。登録元は VulnCheck です。 ## 何が起きるか - このプラグインは、Microsoft Entra ID などと SAML で連携してサインインさせる機能を持っています。SAML の応答（SAMLResponse）には一意のメッセージ ID が付き、「一度使った ID は二度と受け付けない」ことで再送を防ぐのが普通です。 - 該当の版では、`Saml2_Service::check_message_id()` が処理済みの ID を `wpo365_saml_message_ids` という一時保存領域に書き込む前に処理を終えてしまう論理エラーがあり、ID が保存されません。そのため重複の検査が一度も働きません。 - 正規に署名された SAMLResponse を入手した攻撃者は、アサーションの有効期間内であれば、ログイン受け口（ACS エンドポイント）へ繰り返し送って、被害者（管理者を含む）としてログインできる恐れがあります。重複検査が働かないので、再送として検知もされません。 - 入手のしかた（通信の傍受など）は NVD の記載にありません。署名の偽造は不要とされていますが、有効な応答を手に入れる必要があります。 ## 数値と severity - CVSS v4.0: 9.1（AV:N/AC:L/AT:P/PR:N/UI:N）、CVSS v3.1: 7.4（AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:N）。評価者はどちらも VulnCheck（Secondary・Primary）です。弱点の種類は CWE-294（キャプチャ・リプレイによる認証回避）です。 - 二つの版で評価が分かれる理由は、有効な署名済み応答を先に入手する条件を、v4.0 が「攻撃の前提条件あり（AT:P）」、v3.1 が「攻撃の複雑さ高（AC:H）」として扱っているためです。認証そのものは不要です。 - 入手の前提があり、v3.1 では 9 未満のため、公開の基準では severity を high とします。管理者としてログインされると影響は大きくなります。 ## 対策 - WPO365 | LOGIN を 45.2 以降へ更新する（NVD の影響範囲は 45.2 より前。修正を含む変更は NVD の参照先に WordPress プラグインの変更履歴（changeset 3783469）として挙がっています）。 - SAML 連携を使っているサイトは、更新後に管理者などの不審なログインがないか、ログインの記録を見直す。 - 更新までは、SAML 応答が通る経路（ブラウザと ACS の間）の暗号化を確認し、アサーションの有効期間が長すぎないか IdP 側の設定を見直す（一般的な対応で、ベンダーの指示ではありません）。 ## 未確認の点 - 実際の悪用、攻撃コードの公開、EPSS、CISA KEV への掲載。 - 修正の中身（changeset と VulnCheck 勧告の本文は、この記事では開いていません）。 - 影響する設定の範囲（SAML 連携を有効にしたサイトだけが対象か）。NVD の記載から読み取れる範囲では、SAML のログイン受け口を使う構成が前提です。 - NVD の最終評価。 ## 出典 - NVD: CVE-2026-122220 - VulnCheck: WPO365 | LOGIN before 45.2 SAML replay protection bypass - WordPress.org: wpo365-login の変更履歴 - WordPress プラグイン変更履歴 changeset 3783469 ## 出典 - [NVD CVE-2026-122220](https://nvd.nist.gov/vuln/detail/CVE-2026-122220) — NIST NVD - [VulnCheck: WPO365 | LOGIN before 45.2 SAML replay protection bypass](https://www.vulncheck.com/advisories/wpo365-login-before-saml-replay-protection-bypass) — VulnCheck - [WordPress.org: wpo365-login](https://wordpress.org/plugins/wpo365-login/#developers) — WordPress.org - [WordPress プラグイン変更履歴 changeset 3783469](https://plugins.trac.wordpress.org/changeset/3783469/) — WordPress.org --- 出典: World Security（株式会社NTP） https://n-t-p.io/worldsecurity/articles/wpo365-login-cve-2026-122220-saml-replay-protection-bypass