WORDPRESS SECURITY

Ameliaに他ユーザーのWordPressアカウントを乗っ取れる権限不備（CVE-2026-77705）

High

WordPressプラグイン「Booking for Appointments and Events Calendar – Amelia」の脆弱性情報（CVE-2026-77705）。影響バージョンは2.4.10未満。修正版 2.4.10 への更新で対処できます。自社サイトが対象か分からない場合の確認方法と、更新代行の相談先も案内します。

更新日：2026年9月17日

対象製品: Booking for Appointments and Events Calendar – Amelia（プラグイン）
CVE: CVE-2026-77705
CVSS / 深刻度: 7.2 / High
影響バージョン: 2.4.10未満
修正版: 2.4.10
脆弱性種別: 権限チェック不備 / WordPressアカウント乗っ取り

脆弱性の概要

Amelia 2.4.10未満では、顧客・従業員レコードを編集できる権限を持つユーザーが、リンクされた別ユーザーのWordPressアカウントのメールアドレスとパスワードを変更し、管理者を含むアカウントを乗っ取れる可能性があります。

技術的な内容

顧客・従業員レコードの編集者が、そのレコードに紐づくWordPressユーザーを変更する権限を持つか十分に検証していないことが原因です。CVSS 7.2 High。CISA ADPはExploitation:none、Technical Impact:totalと評価しています。WordPress.org公式変更履歴では2.4.10にセキュリティ修正が含まれ、即時更新が推奨されています。

悪用状況

実攻撃は未確認

推奨対応

2.4.10以上へ直ちに更新してください。Ameliaの顧客・従業員管理権限を信頼できるユーザーのみに限定し、最近の管理者・ユーザーのメールアドレス変更、パスワード変更、不審なログインを確認してください。

情報源

情報確認日時：2026年9月15日 00:56

掲載情報は確認時点で公開されているWordPress公式、CVE、セキュリティベンダー等の情報をもとに整理しています。すべての脆弱性や攻撃を網羅・検知することを保証するものではありません。