WordPressプラグイン「GeoDirectory」に不正操作の脆弱性（CVE-2026-113494）

CVSS 4.3 MEDIUM

対象	プラグイン GeoDirectory （GeoDirectory – WP Business Directory Plugin and Classified Listings Directory）有効インストール約 10,000 件
影響バージョン	[*、2.8.195)
修正版	2.8.195
CVE	CVE-2026-113494
種類	認証バイパス（Authorization Bypass Through User-Controlled Key）
悪用される確率（EPSS）	0.24%（全脆弱性の上位 85%）
公表	2026年10月28日　当サイト掲載: 2026年11月2日 12:20

何が起きるか

投稿者（Contributor）以上の権限でログインした利用者が、本来操作できないデータに対して許可されていない操作を行える可能性があります。データの改変など完全性への影響は限定的とされています（CVSS 4.3 中程度）。

想定される被害と条件

投稿者以上のアカウントを持つ利用者が、他人の掲載情報など権限外のデータを操作できるおそれ（会員登録で投稿者権限を付与しているサイトは特に注意）
ディレクトリ掲載情報の内容が無断で変更・改ざんされる可能性
第三者に乗っ取られた投稿者アカウントが悪用される可能性
情報の閲覧やサイト停止などへの直接的な影響は想定されていない

今日やること

GeoDirectoryを2.8.195以上に更新し、更新できない場合は一時停止または削除を検討してください。

すぐに更新できない場合

不要な投稿者以上のアカウントを削除・権限を下げ、新規ユーザー登録を一時的に停止してください。WAFを利用している場合は、ルールを最新に保ってください。

更新後に確認すること

管理画面「ユーザー」で、見覚えのない投稿者以上のアカウントや権限変更がないか確認する
GeoDirectoryの掲載情報（リスティング）一覧で、最近の不審な変更・作成・削除がないか更新日時を確認する
操作ログ系プラグインを導入していれば、投稿者権限ユーザーによる他人のデータへの操作履歴を確認する

不審な投稿・ユーザー・ファイルが見つかった場合は、専門家への相談をおすすめします。

GeoDirectory の現在の情報（WordPress.org、2026-11-02 取得）

最新版	2.8.200 修正版を含む
対応 WordPress	6.0 以上（検証済み 7.1.4）
最終更新	2026-10-29 4:44pm GMT
有効インストール	10,000+
リンク	WordPress.org のページ　公式サイト

このプラグイン、自分のサイトにも入っている？ URL を入れるだけの無料チェック →

原文（Wordfence Intelligence）

The GeoDirectory – WP Business Directory Plugin and Classified Listings Directory plugin for WordPress is vulnerable to Insecure Direct Object Reference in all versions up to 2.8.195. This is due to missing validation on a user controlled key. This makes it possible for authenticated attackers, with contributor-level access and above, to perform an unauthorized action.

参考リンク

https://www.wordfence.com/threat-intel/vulnerabilities/id/7e82ef74-e350-44b9-a1c9-9ae0f3f9ca1e?source=api-prod

脆弱性情報の出典と著作権

脆弱性情報の出典: Wordfence Intelligence のレコード。Copyright 2012-2026 Defiant Inc. License: Defiant hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute this software vulnerability information. Any copy of the software vulnerability information you make for such purposes is authorized provided that you include a hyperlink to this vulnerability record and reproduce Defiant's copyright designation and this license in any such copy. Read more.

CVE: Copyright 1999-2026 The MITRE Corporation. CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Terms of Use.

EPSS: FIRST.org。悪用確認（KEV）: CISA。

本ページの作成について: 上記の出典データをもとに、「何が起きるか」「今日やること」「更新後に確認すること」などの日本語解説は生成 AI が作成し、サイトの主治医が随時確認しています。誤りに気づかれた場合はお問い合わせください。