WordPress向けの「Chat AI with Dispatcher」と「LogixFast Auth」に、認証不要の攻撃でサイトを侵害する恐れがある別々の脆弱性が公表された。前者はPHPファイルの不正アップロードによるコード実行、後者はパスワードリセット用コードの誤送信による管理者アカウント奪取が問題となる。両件のCISA ADP評価はCVSS 9.8だ。
30秒でわかる / THE SIGNAL
WordPress向けの「Chat AI with Dispatcher」と「LogixFast Auth」に、認証不要の攻撃でサイトを侵害する恐れがある別々の脆弱性が公表された。前者はPHPファイルの不正アップロードによるコード実行、後者はパスワードリセット用コードの誤送信による管理者アカウント奪取が問題となる。両件のCISA ADP評価はCVSS 9.8だ。
Chat AI with Dispatcher：アップロードの検証不足でPHPを受け入れる恐れ
WPScanがCNAとして2026年10月29日に公表したCVE-2026-115245は、WordPressプラグイン「Chat AI with Dispatcher」の2.4未満に影響する。アップロードファイルの検証で、クライアント側から送られる偽装可能なContent-Type情報に依存しているため、認証されていない攻撃者がPHPを含む任意ファイルをアップロードでき、遠隔コード実行につながる恐れがある。これはプラグイン固有の問題で、WordPress本体に同じ欠陥があるという意味ではない。
LogixFast Auth：パスワード再設定コードが別のメールアドレスへ
CVE-2026-113616は「LogixFast Auth」の1.0.4未満が対象。パスワードリセット時に、対象アカウントに登録されたメールアドレスではなく、リクエストで指定されたメールアドレスへワンタイムコードを送る欠陥があった。これにより認証不要の攻撃者が管理者を含むユーザーのパスワードを再設定し、アカウントを乗っ取る恐れがある。開発元のWordPress.org公式変更履歴は1.0.4で「コードをアカウント登録メールアドレスにのみ送る」と明記している。
深刻度は両件ともCRITICAL 9.8
WPScanのCVE登録情報に付随するCISA ADPのVulnrichmentレコードでは、両CVEにCVSS v3.1 9.8（CRITICAL）が付与されている。いずれもネットワーク経由、認証不要、ユーザー操作不要の条件で高い機密性・完全性・可用性への影響が評価されている。ただしスコアは技術的な深刻度を示すもので、悪用が既に発生したという証拠ではない。CISA ADPのSSVC情報では両件とも確認された悪用を示していない。
影響製品を限定し、修正版と痕跡を確認する
Chat AI with Dispatcher利用サイトは2.4以降への更新可否を確認し、アップロード領域の不審なPHPファイルを点検する。LogixFast Auth利用サイトは1.0.4以降に更新し、管理者の不審なパスワード再設定・ログインを確認する。前者の2.4については脆弱性調査会社Patchstackが修正版として案内しているが、今回の調査では開発元配布画面を直接確認できていない。適用できない場合は該当プラグインを停止し、代替手段を検討する。