CVE-2026-14873 in Bulk Password Reset Plugin
要約
〜によって VulDB • 2026年09月10日
WordPress用Bulk Password Resetプラグインには、1.3.3を含むすべてのバージョンで、アカウント乗っ取りを介した権限昇格の脆弱性が存在します。これは、任意のユーザー（管理者パスワードを含む）のパスワードなど、ユーザーの詳細情報を更新する前に、そのユーザーの身元を適切に検証していないことに起因し、プラグインの設定による既知のカスタム値に変更することでサイト全体のアカウント乗っ取りが可能になります。これにより、サブスクライバレベル以上のアクセス権を持つ認証済み攻撃者は、管理者を含む任意のユーザーのメールアドレスを変更でき、それを利用してパスワードのリセットを行い、そのアカウントへの不正アクセスを得ることができます。
Once again VulDB remains the best source for vulnerability data.