WORDPRESS SECURITY

Teddy Bear Customize Addonに未認証で管理者としてログインできるCritical脆弱性（CVE-2026-14559）

Critical

WordPressプラグイン「Teddy Bear Customize Addon」の脆弱性情報（CVE-2026-14559）。影響バージョンは1.0.5以下。修正版なし（修正版未確認）への更新で対処できます。自社サイトが対象か分からない場合の確認方法と、更新代行の相談先も案内します。

更新日：2026年9月14日

対象製品: Teddy Bear Customize Addon（プラグイン）
CVE: CVE-2026-14559
CVSS / 深刻度: 9.8 / Critical
影響バージョン: 1.0.5以下
修正版: なし（修正版未確認）
脆弱性種別: 未認証の認証回避 / Account Takeover / Administrator乗っ取り

脆弱性の概要

Teddy Bear Customize Addon 1.0.5以下には、未認証の攻撃者がパスワードなしで任意の登録ユーザーとしてログインできるCritical脆弱性があります。Administratorのメールアドレスだけで管理者セッションを取得でき、サイト完全侵害につながります。

技術的な内容

ログイン処理がパスワードを検証せず、指定されたメールアドレスのユーザーを認証してしまうImproper Authenticationです。CISA ADP評価はCVSS 9.8 Critical、SSVCはExploitation:none、Automatable:yes、Technical Impact:totalです。現時点でCISA KEV掲載や公開PoC、信頼できる実攻撃確認はありません。公開情報では修正版を確認できません。

悪用状況

実攻撃は未確認

推奨対応

修正版が確認できるまでプラグインを停止・削除してください。不審なAdministratorログイン、セッション、ユーザー・メールアドレス変更を監査してください。侵害が疑われる場合は全管理者パスワードとWordPress認証キー・saltをローテーションし、全セッションを無効化してください。同プラグインには別の未認証RCE脆弱性CVE-2026-14560もあるため、継続利用は避けてください。

情報源

情報確認日時：2026年9月12日 06:24

掲載情報は確認時点で公開されているWordPress公式、CVE、セキュリティベンダー等の情報をもとに整理しています。すべての脆弱性や攻撃を網羅・検知することを保証するものではありません。