WP Fusion ProにSubscriber権限から管理者作成可能な権限昇格脆弱性（CVE-2026-14444）

WordPressプラグイン「WP Fusion (Pro)」の脆弱性情報（CVE-2026-14444）。影響バージョンは3.47.13以下。修正版 3.47.14 への更新で対処できます。自社サイトが対象か分からない場合の確認方法と、更新代行の相談先も案内します。

対象製品

WP Fusion (Pro)（プラグイン）

CVE

CVE-2026-14444

CVSS / 深刻度

7.5 / High

影響バージョン

3.47.13以下

修正版

3.47.14

脆弱性種別

Subscriber+ 権限昇格 → 管理者アカウント作成・サイト乗っ取り

脆弱性の概要

WP Fusion Pro 3.47.13以下には、ThriveCart Auto Login機能のロール指定を悪用して低権限ユーザーから管理者権限を取得できる脆弱性があります。条件を満たすと新しい管理者アカウントを作成でき、サイト完全侵害につながります。

技術的な内容

ThriveCart Auto Loginが有効で、攻撃者がSubscriber以上のアカウントと有効なaccess_keyを保持している場合、roleパラメータの検証不足を悪用して高権限ロールを指定できます。CVE-2026-14444はCVSS 7.5 High、3.47.14で修正されています。現時点で公知の実攻撃は確認できません。

悪用状況

実攻撃は未確認

推奨対応

WP Fusion Proを3.47.14以上へ直ちに更新してください。更新までThriveCart Auto Loginを無効化することを推奨します。access_keyをローテーションし、不審な新規ユーザー・管理者、ThriveCart経由のログイン／登録、既存セッションを確認してください。

情報源

• WP Fusion公式（開発元変更履歴・3.47.14）
• CVE.org（CVE情報・CVSS）
• Patchstack（技術解析・修正版情報）

情報確認日時：2026年9月8日 06:49

掲載情報は確認時点で公開されているWordPress公式、CVE、セキュリティベンダー等の情報をもとに整理しています。すべての脆弱性や攻撃を網羅・検知することを保証するものではありません。