【2026年10月】User Registration & Membershipに複数の脆弱性｜会員制サイトは更新を

会員登録・会員管理プラグイン「User Registration & Membership」に、ショートコードの不正実行や保存型XSSなど、複数の脆弱性が報告されました。

User Registration & Membershipとは？

WordPressに会員登録フォーム、ログイン、プロフィール編集、会員プラン、コンテンツの閲覧制限、決済などを追加するプラグインです。

会員制サイト、オンラインコミュニティ、有料コンテンツの販売などで利用できます。

フォームと会員管理をまとめて構築できる点がメリットです。

有効インストール数は50,000以上です。

今回の脆弱性と想定リスク

特に注意したいのが、CVE-2026-92798（CVSS 8.1）です。

アクセス制限されたページに表示するメッセージで、参照元URLを扱う処理が不十分な場合、攻撃者が細工した入力値をショートコードとして実行させる可能性があります。

また、チェックボックスの入力値を通じた保存型XSS（CVE-2026-96660）も報告されています。

攻撃の成立条件は、ページの閲覧制限設定や使用しているショートコードなどによって異なります。

Wordfence

影響バージョンと対策

5.2.8以前が対象で、5.3.0で修正済みです。

開発元の変更履歴には、会員が入力した内容によるショートコード実行の防止、チェックボックスの入力処理強化、閲覧制限設定の安全性改善などが記載されています。

利用中の場合は更新し、会員登録、ログイン、プロフィール編集、閲覧制限、会員プラン、決済の動作を確認しましょう。

WordPress.org