WordPressの「Post SMTP」プラグインに深刻なアカウント乗っ取りの脆弱性、40万サイト以上に影響（CVE-2025-24000）

2025年7月23日、WordPress向けメール配信プラグイン「Post SMTP」に、ログイン済みの低権限ユーザーによるアカウント乗っ取りが可能となる脆弱性（CVE-2025-24000）が存在することが、Patchstackにより公表されました。影響を受けるバージョンは3.2.0以前で、全世界で40万件以上のインストールが確認されています。

影響を受けるバージョン

3.2.0およびそれ以前

修正バージョン

3.3.0以降

問題の概要：ログイン済みなら誰でもREST APIにアクセス可能

Post SMTPは、WordPressのメール送信機能を拡張する人気プラグインで、SMTP設定やOAuth認証、ログ管理機能を提供しています。しかし、バージョン3.2.0以前ではREST APIのエンドポイントがログイン済みであることだけを条件に許可されていたため、本来なら管理者のみが利用すべき機能に、購読者（Subscriber）などの低権限ユーザーでもアクセスできる状態となっていました。

許可チェックに問題のある関数

脆弱性の根本は、REST API用の get_logs_permission() 関数の実装にあります。この関数は is_user_logged_in() でログイン済みか否かしか判定しておらず、管理者権限の有無は一切確認していませんでした。

public function get_logs_permission() {
  return is_user_logged_in();
}

参照

https://patchstack.com/articles/account-takeover-vulnerability-affecting-over-400k-installations-patched-in-post-smtp-plugin/

関連記事

WordPressのPost SMTPプラグインに深刻な脆弱性(CVE-2025-11833)-40万サイトへ影響 Proofpointの設定が悪用され何百万通のフィッシングメールが送信される Google、Chromeのサンドボックス脱出の脆弱性 発見者へ25万ドル（約3,675万円）の報奨 ClaudeのFiles API悪用して不正アクセスできるセキュリティホール-間接 プロンプトインジェクションの仕組みを解説 JavaScriptのライブラリ「Polyfill.io」がサプライチェーン攻撃に悪用 10万以上のサイトに影響 Nintendo Switch2 発売初日に早くも脆弱性が発見-完全なハッキングではないが、ROPで動作改変に成功 Citrix、NetScalerアプライアンスへのパスワードスプレー攻撃について注意喚起 GitHubの非公開リポジトリがMicrosoftのAIアシスタント「Copilot」により無断公開 生成AIで安全対策が突破される脆弱性を発見

投稿者：三村

セキュリティ製品を手がける上場企業にて、SOC（セキュリティオペレーションセンター）運営およびWebアプリケーション脆弱性診断の営業に8年間従事。その後、システムエンジニアへ転身し、MDMや人事系SaaSの開発に携わる。
8年の実務経験と開発者としての知見を活かし、「セキュリティ対策Lab」ではダークウェブ調査、セキュリティインシデントの分析、および高度なセキュリティ対策解説の執筆・編集を統括しています。
LinkedIn(外部サイト)