CVE-2026-18322

概要

WordPress用プラグイン「The Smart Popup by Supsystic」は、1.12.0以前のすべてのバージョンにおいて権限昇格に対して脆弱です。これは`classes/frame.php`内の`havePermissions()`関数におけるパーミッションマップの衝突に起因し、`array_merge()`がポップアップモジュールの管理者制限されたメソッドリストをベースコントローラーの値で上書きし、保護されたアクションから`save`を黙って削除してしまいます。これに加えて、購読確認メールが認証不要の`wp_ajax_nopriv_save`エンドポイントが受け入れるのと同じ汎用`pps_nonce`を埋め込んでいること、および`createWpSubscriber()`にサーバー側のロール許可リストが完全に欠如していることが事態を悪化させています。これにより、未認証の攻撃者が公開購読確認メールから取得したnonceを使用して`admin-ajax.php`に細工されたPOSTリクエストを送信し、公開された`popupControllerPps::save()`アクションを介して`params[tpl][sub_wp_create_user_role]`を`administrator`に設定し、その後保存された確認フローをトリガーして攻撃者が選択した認証情報を持つ永続的なWordPress管理者アカウントを作成することが可能になります。

• CVE-2026-18322PoC

  Root-cause分析、パッシブバージョンチェッカー、およびCVE-2026-18322（SupsysticのSmart Popup WordPressプラグインにおける認証不要の権限昇格）のラボPoC。