「6Storage Rentals」の脆弱性 CVE-2026-15303: 認証の不備

どんな危険があるか

WordPress用プラグイン「6Storage Rentals」に、認証バイパスを悪用したアカウント乗っ取りの脆弱性が存在します。この脆弱性は、six_storage_create_wp_user() AJAXハンドラが、認証や権限確認なしに、攻撃者が提供するメールアドレスに基づいて任意のWordPressユーザーとして認証セッションを確立できることに起因します。これにより、認証されていない攻撃者は管理者を含む既存の任意のWordPressユーザーとしてログインし、ウェブサイトを完全に掌握することが可能になります。

今すぐやること

WordPressの運用者は、6Storage Rentalsプラグインのバージョンが2.27.0以下である場合、速やかにベンダーが提供する修正版にアップデートしてください。修正版のリリース状況については、Wordfenceの脅威インテリジェンスサイトやプラグインの公式リポジトリで確認してください。アップデートが困難な場合は、プラグインを一時的に無効化するか、強力なアクセス制限を設けるなどの緊急対策を検討してください。