WORDPRESS SECURITY

MultiVendorXにStore OwnerからAdministratorへ権限昇格できる脆弱性（CVE-2026-74925）

High

WordPressプラグイン「MultiVendorX – WooCommerce Multivendor Marketplace AI Powered Solutions」の脆弱性情報（CVE-2026-74925）。影響バージョンは5.0.0以上5.0.16未満。修正版 5.0.16（現行5.0.17推奨）への更新で対処できます。自社サイトが対象か分からない場合の確認方法と、更新代行の相談先も案内します。

更新日：2026年9月14日

対象製品: MultiVendorX – WooCommerce Multivendor Marketplace AI Powered Solutions（プラグイン）
CVE: CVE-2026-74925
CVSS / 深刻度: 7.2 / High
影響バージョン: 5.0.0以上5.0.16未満
修正版: 5.0.16（現行5.0.17推奨）
脆弱性種別: 認証済みStore Owner+ 権限昇格 / Administrator権限取得

脆弱性の概要

MultiVendorX 5.0.0〜5.0.15には、Store Owner相当のユーザーがロール・capability設定を変更し、自身の権限をAdministrator相当まで引き上げてサイトを乗っ取れる権限昇格脆弱性があります。

技術的な内容

プラグインがrole/capability設定を更新できるユーザーを適切に制限していないため、Store Owner/vendorロール保持者が管理者レベルのcapabilityを付与できます。CISA ADP評価はCVSS 7.2 High、Technical Impactはtotalです。WordPress.orgでは5.0.16の変更履歴にWordPressコミュニティから報告されたセキュリティ脆弱性の修正が記載され、現行版は5.0.17です。現時点でCISA KEV掲載や信頼できる実攻撃確認、公開PoCは確認できません。

悪用状況

実攻撃は未確認

推奨対応

5.0.16以上、可能であれば現行5.0.17へ直ちに更新してください。Store Owner/vendorロールのcapability設定、最近のロール変更、未知のAdministrator、プラグイン・テーマ追加、管理画面操作ログを確認してください。侵害が疑われる場合は管理者資格情報とWordPress認証キー・saltをローテーションしてください。

情報源

情報確認日時：2026年9月12日 06:24

掲載情報は確認時点で公開されているWordPress公式、CVE、セキュリティベンダー等の情報をもとに整理しています。すべての脆弱性や攻撃を網羅・検知することを保証するものではありません。