CVE-2026-15964

概要

# WordPress用「Single Sign On For TNG」プラグインにおける認証バイパスの脆弱性 WordPress用「Single Sign On For TNG」プラグインは、全バージョン（2.0.0を含む）において、未認証のパスワードリセットによる認証バイパスに対して脆弱です。これは、`ssoprocess_ajax()` 関数が原因です。この関数は `wp_ajax_nopriv_ssoprocess_ajax` に登録されているため、認証なしで到達可能であり、攻撃者が指定した `email` パラメータを `setnewpassword` 操作で受け入れ、所有権トークン、メール確認リンク、権限チェックのいずれも行わずに、解決されたアカウントに対して `reset_password()` を呼び出します。唯一の防御策は `check_ajax_referer()` の呼び出しですが、これは認可の障壁にはなりません。なぜなら、`ssoajaxnonce` ノンスは `wp_localize_script()` によって `SSOPWDREQUIREMENT` JavaScriptオブジェクト経由で全フロントエンドページに公開されているためです。WordPressはログアウト中の訪問者に対して共有の匿名セッションコンテキストでノンスを計算するため、未認証の訪問者は誰でもホームページから有効なノンスを取得し、それを使用してリクエストを認証できます。これにより、未認証の攻撃者が管理者アカウントを含む任意のWordPressアカウントのパスワードを変更でき、サイトの完全な乗っ取りが可能になります。

• CVE-2026-15964-PoCエクスプロイト

  CVE-2026-15964 の PoC & チェッカー - WordPress プラグイン Single Sign On For TNG <= 2.0.0 における認証なしパスワード変更 (CVSS 9.8)