緊急 2026年10月21日 PHPに重大な脆弱性が見つかりました
high CVSS 7.5

CVE-2026-93757

Wild Apricot Login <= 1.0.18 - Authentication Bypass via SSO Email-Collision Account Binding on Multisite

公表 2026-10-28 / CWE-287 Improper Authentication

内容

The Wild Apricot Login plugin for WordPress is vulnerable to Authentication Bypass via SSO Email-Collision Account Binding in all versions up to, and including, 1.0.18. When no WildApricot contact-ID mapping is found for an incoming SSO login, the plugin falls back to a network-global `get_user_by('email', ...)` lookup in `Module.php` to resolve a WordPress user, then `UserSynchronizer::syncWaContact()` binds and `Controller::login()` issues a session cookie via `wp_set_auth_cookie()` for that resolved user — both guarded only by `is_super_admin()` — without ever requiring proof of ownership of the matched WordPress account such as a password, local account-linking confirmation, inbox verification, or administrator approval. This makes it possible for attackers with custom-level WildApricot membership access to authenticate as an existing WordPress subsite administrator on a path-based Multisite network, obtaining a valid network-global authentication cookie for the victim without their credentials. Exploitation requires that the attacker control a WildApricot contact whose email address matches the target WordPress administrator's email — achievable via a public zero-fee membership application on the connected WildApricot organization — and that they complete the SSO flow on any subsite where Wild Apricot Login is active; because WordPress user identities and authentication cookies are network-global, the cookie issued on that subsite is equally valid on any other subsite where the victim user holds an administrator role.

内容の説明は提供元の原文 (英語) です。翻訳は行っていません。意味を取り違えないためです。

影響を受ける対象とバージョン

対象種別影響を受けるバージョン修正版
Wild Apricot Login wild-apricot-login プラグイン <= 1.0.18 未提供

優先度の判断材料

深刻度 高 (CVSS 7.5)
実際の悪用 CISA KEV には登録されていません。ただしこれは、悪用されていないことを意味しません。 この目録には、米国政府が悪用の事実を確認したものだけが載ります。
悪用される確率 今後30日以内に悪用される確率は 0.43% (低い) です (EPSS 2026-10-29 時点、全体の上位 63.3% に相当)。

対処

修正版はまだ公開されていません。更新を待つ間は、該当する拡張を停止するか、 代わりの拡張への切り替えをご検討ください。停止できない場合は、 該当機能へのアクセスを制限するなど、暫定の手当てを行ってください。

自分のサイトが実際にこの影響範囲のバージョンを使っているかは、 WordPress脆弱性診断 にURLを入れると確認できます。

出典

脆弱性情報の一覧へ戻る

出典とライセンス

本ページの脆弱性情報は、次の提供元の公開データをもとに自動で集計したものです。掲載内容の正確性を保証するものではありません。実際の対応にあたっては各提供元の公式アドバイザリをご確認ください。本サイトは各提供元とは無関係であり、承認または後援を受けたものではありません。

Copyright 2012-2026 Defiant Inc. Defiant hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute this software vulnerability information. Any copy of the software vulnerability information you make for such purposes is authorized provided that you include a hyperlink to this vulnerability record and reproduce Defiant's copyright designation and this license in any such copy. Wordfence Intelligence Terms and Conditions

Copyright 1999-2026 The MITRE Corporation. CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. CVE Terms of Use

CVE® は The MITRE Corporation の登録商標です。