WordPressのプラグイン「Uncanny Automator」に深刻な権限昇格の脆弱性(CVE-2025-2075)【注意喚起】

2025年3月、WordPressプラグイン「Uncanny Automator」に深刻な権限昇格の脆弱性(CVE-2025-2075)が発見されました。この脆弱性により、サブスクライバー権限以上の認証済みユーザーが、自身の権限を管理者にまで引き上げることが可能になります。

本プラグインは、ワークフローの自動化や他プラグインとの連携機能で広く使われており、50,000件以上のサイトでアクティブに導入されています。

脆弱性の対象バージョン

6.3.0.2 以前のバージョン

脆弱性の対策バージョン

6.4.0以上のバージョン

脆弱性の概要

この脆弱性は、REST API経由で呼び出される add_role() および user_role() 関数に対して、適切な権限チェックが行われていなかったことが原因です。これにより、攻撃者は自身のアカウントを利用して、任意のユーザーの権限を管理者へと変更することが可能になります。

実際に起こりうるリスク

本脆弱性を悪用された場合、以下のような被害が想定されます。

• 管理者権限の不正取得

• 悪意のあるプラグイン・テーマのアップロードによるバックドア設置

• 投稿・固定ページの改ざんやリダイレクト設定

• サイト訪問者へのマルウェア配布やスパム表示

攻撃者が管理者権限を取得することで、サイト全体の乗っ取りが可能になる重大なリスクが伴います。