WORDPRESS SECURITY

OTP Login & Register WooCommerceに未認証OTP総当たりによる認証回避・アカウント乗っ取り（CVE-2026-12215）

Medium

WordPressプラグイン「OTP Login & Register Woocommerce」の脆弱性情報（CVE-2026-12215）。影響バージョンは2.7.2以下。修正版 2.7.3（現行2.7.4推奨）への更新で対処できます。自社サイトが対象か分からない場合の確認方法と、更新代行の相談先も案内します。

更新日：2026年9月24日

対象製品: OTP Login & Register Woocommerce（プラグイン）
CVE: CVE-2026-12215
CVSS / 深刻度: 5.3 / Medium
影響バージョン: 2.7.2以下
修正版: 2.7.3（現行2.7.4推奨）
脆弱性種別: 未認証の認証回避 / OTP Brute Force / Account Takeover

脆弱性の概要

OTP Login & Register Woocommerce 2.7.2以下には、未認証の攻撃者がOTPを総当たりして任意の登録ユーザーとしてログインできる認証回避脆弱性があります。対象の登録電話番号を把握している場合、Administratorを含むアカウントの完全なWordPressセッションを取得できます。

技術的な内容

OTP試行回数が攻撃者制御のxoo_ml_user_ip_data Cookie内ip_addressだけを基準に制限されるため、Cookieを変更して試行回数をリセットできます。OTPはPHPのrand()で1000〜9999の9,000通りから生成され、発行・検証エンドポイントはいずれも未認証wp_ajax_noprivでnonce/capabilityチェックがありません。CVSS 5.3 Mediumですが、悪用されると管理者アカウントの乗っ取りに直結するため注意が必要です。悪用には対象ユーザーの登録電話番号が必要です。現時点でCISA KEV掲載や信頼できる実攻撃確認はありません。WordPress.orgでは2.7.3にSecurity fixが記載されています。

悪用状況

実攻撃は未確認

推奨対応

2.7.3以上、可能であれば現行2.7.4へ直ちに更新してください。更新までOTPログイン機能の停止を検討し、不審な管理者ログイン、セッション発行、OTP要求・検証の大量試行を確認してください。侵害が疑われる場合は管理者パスワードとWordPress認証キー・saltをローテーションし、全セッションを無効化してください。

情報源

情報確認日時：2026年9月12日 06:24

掲載情報は確認時点で公開されているWordPress公式、CVE、セキュリティベンダー等の情報をもとに整理しています。すべての脆弱性や攻撃を網羅・検知することを保証するものではありません。