WordPressプラグイン「Wild Apricot Login」に認証バイパスの脆弱性（CVE-2026-93757）

CVSS 7.5 HIGH 修正版なし

対象	プラグイン Wild Apricot Login
影響バージョン	1.0.18 以下
修正版	未修正
CVE	CVE-2026-93757
種類	認証バイパス（Improper Authentication）
悪用される確率（EPSS）	0.43%（全脆弱性の上位 63%）
公表	2026年10月28日　当サイト掲載: 2026年11月2日 12:20

何が起きるか

バージョン1.0.18以前では、WildApricotの会員アカウントを使い、メールアドレスが一致する既存のWordPress管理者になりすましてログインされるおそれがあります。修正版はまだ公開されていません。

想定される被害と条件

WordPressのパスワードを知らない第三者が、既存の管理者としてログインできてしまうおそれがあります
管理者権限を奪われると、サイトの改ざん、ユーザーの追加、個人情報の閲覧などの被害につながります
悪用には、連携先のWildApricot組織の会員アカウントが必要です。無料で入会できる設定の組織では、誰でも条件を満たせます
マルチサイト構成（サブディレクトリ型）では特に危険です。1つのサブサイトで得たログイン状態が、被害者が管理者を務める他のサブサイトでも有効になります

今日やること

Wild Apricot Login（1.0.18以前）は修正版が未公開のため、今日中にプラグインを停止し、可能であれば削除してください。

すぐに更新できない場合

プラグインを無効化してください。業務上すぐに止められない場合は、WildApricot側で無料の公開入会を一時的に停止し、新規会員を承認制にすることを検討してください。

更新後に確認すること

管理画面の「ユーザー」一覧を開き、身に覚えのない管理者や、権限が変更されたユーザーがいないか確認する
管理者のログイン履歴（セキュリティ系プラグインやサーバーのアクセスログ）に、普段と異なる時間帯や場所からのログインがないか確認する
投稿・固定ページ、プラグイン、テーマに、意図しない追加や変更がないか確認する
不審な点が見つかった場合は、全管理者のパスワードを変更し、全ユーザーを強制ログアウトさせる

不審な投稿・ユーザー・ファイルが見つかった場合は、専門家への相談をおすすめします。

このプラグイン、自分のサイトにも入っている？ URL を入れるだけの無料チェック →

原文（Wordfence Intelligence）

The Wild Apricot Login plugin for WordPress is vulnerable to Authentication Bypass via SSO Email-Collision Account Binding in all versions up to, and including, 1.0.18. When no WildApricot contact-ID mapping is found for an incoming SSO login, the plugin falls back to a network-global `get_user_by(‘email’, …)` lookup in `Module.php` to resolve a WordPress user, then `UserSynchronizer::syncWaContact()` binds and `Controller::login()` issues a session cookie via `wp_set_auth_cookie()` for that resolved user — both guarded only by `is_super_admin()` — without ever requiring proof of ownership of the matched WordPress account such as a password, local account-linking confirmation, inbox verification, or administrator approval. This makes it possible for attackers with custom-level WildApricot membership access to authenticate as an existing WordPress subsite administrator on a path-based Multisite network, obtaining a valid network-global authentication cookie for the victim without their credentials. Exploitation requires that the attacker control a WildApricot contact whose email address matches the target WordPress administrator’s email — achievable via a public zero-fee membership application on the connected WildApricot organization — and that they complete the SSO flow on any subsite where Wild Apricot Login is active; because WordPress user identities and authentication cookies are network-global, the cookie issued on that subsite is equally valid on any other subsite where the victim user holds an administrator role.

参考リンク

https://www.wordfence.com/threat-intel/vulnerabilities/id/9adbe55e-f1a1-4fa8-b28d-539d90d81c68?source=api-prod

脆弱性情報の出典と著作権

脆弱性情報の出典: Wordfence Intelligence のレコード。Copyright 2012-2026 Defiant Inc. License: Defiant hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute this software vulnerability information. Any copy of the software vulnerability information you make for such purposes is authorized provided that you include a hyperlink to this vulnerability record and reproduce Defiant's copyright designation and this license in any such copy. Read more.

CVE: Copyright 1999-2026 The MITRE Corporation. CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Terms of Use.

EPSS: FIRST.org。悪用確認（KEV）: CISA。

本ページの作成について: 上記の出典データをもとに、「何が起きるか」「今日やること」「更新後に確認すること」などの日本語解説は生成 AI が作成し、サイトの主治医が随時確認しています。誤りに気づかれた場合はお問い合わせください。