WordPressプラグイン「Content Egg」に権限確認不備の脆弱性（CVE-2026-119087）

CVSS 4.3 MEDIUM

対象	プラグイン Content Egg （Content Egg – Affiliate Product Importer & Price Comparison）有効インストール約 10,000 件
影響バージョン	12.0.0 以下
修正版	12.1.0
CVE	CVE-2026-119087
種類	権限昇格（Missing Authorization）
悪用される確率（EPSS）	0.22%（全脆弱性の上位 87%）
公表	2026年10月30日　当サイト掲載: 2026年11月2日 12:20

何が起きるか

投稿者（Author）以上の権限を持つユーザーが、管理者など他のユーザー名義で投稿を作成できてしまいます。公開権限があれば、管理者名義の記事がそのまま公開される恐れがあります。

想定される被害と条件

投稿者以上の権限を持つアカウントが、管理者名義で投稿を作成できる
公開権限があれば、管理者名義の記事がサイト上に公開される恐れがある
管理者が書いたように見える偽情報、不適切な内容、詐欺リンクが掲載され、サイトの信頼が損なわれる恐れがある
投稿者以上のアカウントが乗っ取られた場合や、信頼できない人に権限を与えている場合に被害が起きやすい

今日やること

Content Egg を 12.1.0 以上に更新してください。すぐ更新できない場合は、プラグインの停止または削除を検討してください。

すぐに更新できない場合

更新するまではプラグインを停止してください。あわせて、投稿者以上の権限を持つユーザーを信頼できる人だけに絞り、不要なアカウントは削除または権限を下げてください。

更新後に確認すること

管理画面「投稿」一覧で、作成者が管理者になっている投稿のうち、管理者本人が作った覚えのないものがないか確認する
心当たりのない公開記事や、最近の日時で作られた記事・下書きがないか確認する
「ユーザー」一覧で、投稿者以上の権限を持つユーザーに不審なアカウントがないか確認する
不審なものがあれば記事を非公開・削除し、該当ユーザーのパスワードを変更する

不審な投稿・ユーザー・ファイルが見つかった場合は、専門家への相談をおすすめします。

Content Egg の現在の情報（WordPress.org、2026-11-02 取得）

最新版	12.1.0 修正版を含む
対応 WordPress	6.9 以上（検証済み 7.1.4）
最終更新	2026-10-29 3:17pm GMT
有効インストール	10,000+
リンク	WordPress.org のページ　公式サイト

このプラグイン、自分のサイトにも入っている？ URL を入れるだけの無料チェック →

原文（Wordfence Intelligence）

The Content Egg – Affiliate Product Importer & Price Comparison plugin for WordPress is vulnerable to authorization bypass in all versions up to, and including, 12.0.0 This is due to the plugin not properly verifying that a user is authorized to perform an action. This makes it possible for authenticated attackers, with author-level access and above, to create posts attributed to another user’s account — typically an administrator — by supplying an admin-owned preset_id, causing wp_insert_post to record the administrator as post_author. This includes the ability to create published posts when the attacker already holds publish_posts capability for the preset’s post type, resulting in administrator-attributed published content created by a lower-privileged user.

参考リンク

https://www.wordfence.com/threat-intel/vulnerabilities/id/e179f0fc-6943-4e3b-9346-4604bd9c85bc?source=api-prod

脆弱性情報の出典と著作権

脆弱性情報の出典: Wordfence Intelligence のレコード。Copyright 2012-2026 Defiant Inc. License: Defiant hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute this software vulnerability information. Any copy of the software vulnerability information you make for such purposes is authorized provided that you include a hyperlink to this vulnerability record and reproduce Defiant's copyright designation and this license in any such copy. Read more.

CVE: Copyright 1999-2026 The MITRE Corporation. CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Terms of Use.

EPSS: FIRST.org。悪用確認（KEV）: CISA。

本ページの作成について: 上記の出典データをもとに、「何が起きるか」「今日やること」「更新後に確認すること」などの日本語解説は生成 AI が作成し、サイトの主治医が随時確認しています。誤りに気づかれた場合はお問い合わせください。