WordPressプラグイン「Directorist」に、権限の低いユーザーが他人の掲載情報を削除できる可能性のある脆弱性が報告されました。2026年10月13日に公開されたCVE-2026-17092は、CVSS 8.1と評価されています。バージョン8.10.2.1以前が対象です。Wordfence
Directoristとは？
Directoristは、企業情報や店舗情報などを一覧表示するディレクトリサイトを構築できるプラグインです。例えば、地域の店舗紹介サイト、求人情報サイト、不動産情報サイト、サービス事業者の検索サイトなどに利用できます。
掲載情報の登録、カテゴリー分類、検索、地図表示などの機能を備えています。WordPressで比較的大規模な情報掲載サイトを構築できることが特徴です。2026年10月13日時点の有効インストール数は20,000以上です。
今回の脆弱性について
今回の問題は、掲載情報を削除する処理において、ユーザーの権限確認が不十分だったことに関係しています。
悪用された場合、購読者権限などの低い権限を持つユーザーが、他人の掲載情報を削除できる可能性があります。
公開中の情報だけでなく、下書きや非公開の情報も対象になるおそれがあります。
確認と対策
今回の問題はバージョン8.10.3で修正されています。現在は8.10.4が公開されています。対象バージョンを利用している場合は、速やかに更新してください。
更新後は、掲載情報の登録・編集・削除機能、ユーザー権限、管理画面の操作などを確認しましょう。また、過去の掲載情報に不審な削除が発生していないか、確認しておくこともおすすめします。
複数のユーザーが情報を登録・管理するサイトでは、ユーザーごとの権限管理が重要です。
今回のような問題は、サイトの情報そのものが失われる原因にもなります。プラグインの更新とともに、バックアップや復元手段も確保しておきましょう。
公式情報： WordPress.org — Directorist
脆弱性情報： Wordfence — CVE-2026-17092