NokriテーマにSubscriber権限から管理者アカウント乗っ取り可能な権限昇格脆弱性（CVE-2025-9049）

WordPressテーマ「Nokri – Job Board WordPress Theme」の脆弱性情報（CVE-2025-9049）。影響バージョンは1.6.4以下。修正版 1.6.6（現行1.6.8推奨） への更新で対処できます。自社サイトが対象か分からない場合の確認方法と、更新代行の相談先も案内します。

対象製品

Nokri – Job Board WordPress Theme（テーマ）

CVE

CVE-2025-9049

CVSS / 深刻度

8.8 / High

影響バージョン

1.6.4以下

修正版

1.6.6（現行1.6.8推奨）

脆弱性種別

Subscriber+ 権限昇格／管理者アカウント乗っ取り

脆弱性の概要

Nokri – Job Board WordPress Theme 1.6.4以下には、Subscriber権限の攻撃者がアカウントメンバー権限を悪用し、管理者を含む任意ユーザーのメールアドレスを変更してアカウントを乗っ取れる脆弱性があります。同テーマには別のCritical脆弱性CVE-2026-18550もありますが、本件は別CVEです。

技術的な内容

nokri_account_member_permissions関数に必要なcapabilityチェックがないことが原因です。Subscriber以上のユーザーがEmployerのアカウントメンバー権限を持つユーザーを作成し、その権限を利用して任意ユーザーのメールアドレスを変更できます。CVE-2025-9049はCVSS 8.8 High、ネットワーク経由・低複雑度・ユーザー操作不要です。現時点でCISA KEV掲載や公知の実攻撃は確認できません。

悪用状況

実攻撃は未確認

推奨対応

Nokriを少なくとも1.6.6以上、実運用では現行1.6.8へ更新してください。Subscriber・Employer・Candidateを含むユーザー一覧、メールアドレス変更、未知の管理者追加、パスワードリセット履歴を確認してください。Nokriには他の重大脆弱性も確認されているため、1.6.8未満を継続利用しないことを推奨します。

情報源

• ThemeForest（開発元公式・Nokri変更履歴）
• CVE.org（CVEレコード）
• Wordfence（CNA・技術情報）

情報確認日時：2026年9月7日 18:12

掲載情報は確認時点で公開されているWordPress公式、CVE、セキュリティベンダー等の情報をもとに整理しています。すべての脆弱性や攻撃を網羅・検知することを保証するものではありません。