WORDPRESS SECURITY

Abandoned Cart Pro for WooCommerceに管理者乗っ取りにつながる権限昇格脆弱性（CVE-2026-81543）

High

WordPressプラグイン「Abandoned Cart Pro for WooCommerce」の脆弱性情報（CVE-2026-81543）。影響バージョンは10.7.1以下。修正版 10.7.2 への更新で対処できます。自社サイトが対象か分からない場合の確認方法と、更新代行の相談先も案内します。

更新日：2026年9月14日

対象製品: Abandoned Cart Pro for WooCommerce（プラグイン）
CVE: CVE-2026-81543
CVSS / 深刻度: 8.8 / High
影響バージョン: 10.7.1以下
修正版: 10.7.2
脆弱性種別: 権限昇格（認可不備・管理者アカウント乗っ取り）

脆弱性の概要

Abandoned Cart Pro for WooCommerce 10.7.1以下では、Subscriber以上の認証済みユーザーが認可不備を悪用し、管理者のリカバリーメールを攻撃者側へ誘導して完全な管理者権限取得につなげられる脆弱性があります。Auto-login機能が有効であることが条件ですが、これは既定設定です。

技術的な内容

複数のAJAX処理で能力チェックとnonce検証が不足しており、低権限ユーザーがSMTPコネクタ設定等を変更できます。CVE CNA評価はCVSS 8.8 Highですが、最終的に管理者アカウント乗っ取りへ到達するため重大です。開発元は10.7.2でこの権限昇格を修正したと明記しています。現時点で実攻撃確認はありません。

悪用状況

実攻撃は未確認

推奨対応

10.7.2以上へ直ちに更新してください。SMTPコネクタ設定、管理者アカウント、パスワードリセット・Auto-login関連履歴、不審なセッションを確認し、更新完了までは必要に応じてAuto-login機能を停止してください。

情報源

情報確認日時：2026年9月6日 06:43

掲載情報は確認時点で公開されているWordPress公式、CVE、セキュリティベンダー等の情報をもとに整理しています。すべての脆弱性や攻撃を網羅・検知することを保証するものではありません。