CVE-2026-10580

概要

WordPress 用 Hippoo Mobile App for WooCommerce プラグインは、バージョン 1.9.4 以前のすべてのバージョンにおいて、管理者アカウント乗っ取りにつながる認証バイパスの脆弱性の影響を受けます。これは、HippooPermissions::get_user_permissions() におけるロジックの混同が原因です。このメソッドは管理者と未認証の訪問者の両方に対して同じ null センチネルを返すため、HippooPermissions::has_role_access() はその値を無条件に完全な管理者アクセスとして解釈し、override_extension_permission_callback() は HippooControllerWithAuth::re_register_external_routes() によって /wc-hippoo/v1/ext/ 配下に複製されたすべての WordPress および WooCommerce REST ルートの権限コールバックとして __return_true を割り当てます。一方、block_unauthorized_access() のディスパッチ前ガードも同じ理由で未認証ユーザーをブロックできません。これにより、未認証の攻撃者は資格情報なしで任意のコア REST エンドポイントを呼び出すことが可能になります。最も重大なのは、/wc-hippoo/v1/ext/wp/v2/users/<id> に対して `{"password":"<new_password>"}` をボディに含む POST リクエストを送信し、サイト管理者を含む任意の WordPress ユーザーのパスワードをリセットして、サイトの完全な管理者権限を取得できることです。

• CVE-2026-10580エクスプロイト

  CVE-2026-10580 の PoC エクスプロイト - Hippoo Mobile App for WooCommerce (バージョン 1.9.4 以下) における認証バイパス、管理者アカウントの乗っ取りにつながる

• By-Poloss..-..CVE-2026-10580エクスプロイト

  Hippoo Mobile App for WooCommerce <= 1.9.4 - 未認証の認証バイパスによる管理者アカウント乗っ取り