「Solace Extra」の脆弱性 CVE-2026-18316: 認可されていない操作の実行

どんな危険があるか

WordPressプラグインSolace Extraのバージョン1.6.0以前において、認証された攻撃者によるサイトコンテンツの不正な削除およびデモコンテンツのインポートが可能となる脆弱性が存在します。import_zip()関数に適切な権限チェックが欠如しているため、購読者レベル以上の権限を持つ攻撃者は、ナビゲーションメニュー、サイドバーウィジェット、テーマモジュール、Elementorテンプレートを削除したり、任意のデモコンテンツインポートをトリガーしたりできます。これにより、ウェブサイトのデータが破壊され、サービスの可用性が著しく損なわれる危険性があります。

今すぐやること

Solace Extraプラグインを使用している場合、直ちにベンダーアドバイザリを確認し、修正版が提供されていれば最新バージョンにアップデートしてください。アップデートが困難な場合、ベンダーからの回避策に関する情報がないか確認し、権限の低いユーザーが不要な機能にアクセスできないよう、最小権限の原則を適用することを検討してください。