CVE-2023-5561
中公開済み
WordPress < 6.3.2 - 未認証の投稿著者メールアドレス開示
- 公開済み
- 2023/10/16
- 更新済み
- 2025/04/23
- CNA の割り当て
- WPScan
- 観察された証拠
- 2026/08/08
プライマリ CVSS
5.3/ 10中
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N3.9%
低 · 今後 30 日間
- パーセンタイル
- 89.7%
- モデルの日付
- 2026/09/21
EPSS は統計的な推定値であり、確実性や影響の尺度ではありません。 CVSS、KEV ステータス、暴露、環境と組み合わせます。
概要
WordPressは、REST API経由で検索可能なユーザーフィールドを適切に制限していないため、認証されていない攻撃者が、影響を受けるウェブサイト上で公開投稿を行ったユーザーのメールアドレスを、オラクル攻撃（Oracle style attack）により判別できる可能性があります。
ソース
3WordPress CVE-2023-5561 の未認証投稿作成者メールアドレス開示向け更新版PoC
CVE-2023-5561のPoCエクスプロイト。/wp-json/wp/v2/users APIエンドポイントを介してWordPressユーザーのメールアドレスを列挙する。許可されたセキュリティテストと教育用。
WordPressはREST APIを介して検索可能なユーザーフィールドを適切に制限しておらず、認証されていない攻撃者がOracle style attackを介して影響を受けるウェブサイト上で公開された公開投稿を行ったユーザーのメールアドレスを識別することを可能にします。
責任ある使用
脆弱性情報は、自分が所有しているシステム、またはテストを許可されているシステムでのみ使用してください。 Kitploit は公開研究メタデータにリンクしており、エクスプロイト コードや悪意のあるペイロードは保存しません。