WordPressプラグイン「SureCart」に認証バイパスの脆弱性

CVSS 8.1 HIGH 未ログインで悪用可能

対象	プラグイン SureCart （SureCart – Ecommerce Made Easy For Selling Physical Products, Digital Downloads, Subscriptions, Donations, & Payments）有効インストール約 80,000 件
影響バージョン	4.9.5 以下
修正版	4.9.6
CVE	-
種類	認証バイパス（Improper Authentication）
公表	2026年10月31日　当サイト掲載: 2026年11月2日 12:20

何が起きるか

SureCart 4.9.5以前では、ログインしていない第三者が管理者を含む任意のユーザーとしてログインできるおそれがあります。サイトを乗っ取られ、改ざんや顧客情報の流出につながる可能性があります。

想定される被害と条件

管理者アカウントを乗っ取られ、サイト全体を第三者に操作されるおそれがあります
不正なユーザーの追加、ページの改ざん、悪意あるプラグインの設置などが行われる可能性があります
注文・顧客情報など、ストアに保存された個人情報が漏えいするおそれがあります
SureCart 4.9.5以前が有効化されていれば、ログインしていない第三者でも悪用できます
攻撃の成功には多数の試行が必要なため確実ではありませんが、試行回数の制限がないため現実的な脅威です

今日やること

SureCartを4.9.6以上に更新し、すぐに更新できない場合はプラグインの一時停止・削除を検討してください。

すぐに更新できない場合

更新までSureCartプラグインを停止してください。停止できない場合は、WAFやセキュリティプラグインでSureCartのワンタイムコードによるログイン用REST APIへのアクセスを遮断し、短時間に大量のリクエストを送る接続元をブロックしてください。

更新後に確認すること

管理画面「ユーザー」で、見覚えのない管理者アカウントや、権限・メールアドレスが変更されたアカウントがないか確認する
管理画面「プラグイン」「外観」で、身に覚えのないプラグイン・テーマの追加や変更がないか確認する
サーバーのアクセスログやセキュリティプラグインのログで、SureCartのログイン認証コード関連URLへの大量アクセスや、不審なIPからの管理者ログインがないか確認する
不安がある場合は全管理者のパスワードを変更し、すべてのログインセッションを無効化する

不審な投稿・ユーザー・ファイルが見つかった場合は、専門家への相談をおすすめします。

SureCart の現在の情報（WordPress.org、2026-11-02 取得）

最新版	4.11.0 修正版を含む
対応 WordPress	6.8 以上（検証済み 7.1.4）
最終更新	2026-10-28 7:13pm GMT
有効インストール	80,000+
リンク	WordPress.org のページ　公式サイト

このプラグイン、自分のサイトにも入っている？ URL を入れるだけの無料チェック →

原文（Wordfence Intelligence）

The SureCart plugin for WordPress is vulnerable to unauthenticated account takeover in all versions up to, and including, 4.9.5. The passwordless one-time-code login REST route (VerificationCodeController::verify(), whose permission callback returns true) resolves an attacker-supplied login to any WordPress user, verifies a 6-digit code, and on success calls $user->login() → wp_set_auth_cookie() for a user of any role. In the affected versions this path has no per-account attempt counter, no persistent email/IP lockout or rate limit (the upstream CDN throttle is bypassable via IP rotation), and no restriction preventing high-privilege accounts from being logged in through it. An unauthenticated attacker can trigger a code for any user (including an administrator) via the companion unauthenticated endpoint and brute-force the 6-digit code to obtain an authenticated session as that user, resulting in a full administrator account takeover.

参考リンク

https://www.wordfence.com/threat-intel/vulnerabilities/id/dffdcaa2-5100-48f5-9b82-e22075fd87e5?source=api-prod

脆弱性情報の出典と著作権

脆弱性情報の出典: Wordfence Intelligence のレコード。Copyright 2012-2026 Defiant Inc. License: Defiant hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute this software vulnerability information. Any copy of the software vulnerability information you make for such purposes is authorized provided that you include a hyperlink to this vulnerability record and reproduce Defiant's copyright designation and this license in any such copy. Read more.

EPSS: FIRST.org。悪用確認（KEV）: CISA。

本ページの作成について: 上記の出典データをもとに、「何が起きるか」「今日やること」「更新後に確認すること」などの日本語解説は生成 AI が作成し、サイトの主治医が随時確認しています。誤りに気づかれた場合はお問い合わせください。