概要
WordPress向けプラグイン「AI ChatBot with ChatGPT and Content Generator by AYS」において、認証されていないユーザーがChatGPTのAPIキーに不正にアクセスし、閲覧、変更、または削除できる脆弱性（CVE-2026-1336）が報告されました。この問題は、store_data()およびget_chatgpt_api_key()関数における権限チェックの欠如に起因するとされています。
影響範囲
対象製品
- WordPressプラグイン「AI ChatBot with ChatGPT and Content Generator by AYS」
対象バージョン
- バージョン2.7.5を含む、それ以前のすべてのバージョン
修正状況
- バージョン2.7.5で部分的に修正され、バージョン2.7.6で完全に修正されています。
想定される影響
この脆弱性が悪用された場合、認証されていない攻撃者によって以下の影響が発生する可能性があります。
- プラグインに設定されているChatGPT APIキーの不正な閲覧
- ChatGPT APIキーの不正な変更または削除
APIキーが漏洩または改ざんされると、意図しないAPI利用による課金発生や、サービス停止などの被害につながる恐れがあります。
攻撃成立条件・悪用状況
本脆弱性は、認証されていない攻撃者によって悪用される可能性があります。現在のところ、具体的な悪用状況については詳細な報告は確認されていません。
推奨対策
企業IT担当者の皆様は、以下の対策を速やかに実施することを強く推奨します。
今すぐできる対策
- プラグインのアップデート: 脆弱性が完全に修正されたバージョン2.7.6以降に、速やかにアップデートしてください。
中長期的な対策
- 定期的なセキュリティ更新: 使用しているすべてのプラグインおよびWordPress本体を常に最新の状態に保つよう、定期的な更新プロセスを確立してください。
- セキュリティ監査の実施: 定期的にウェブサイトのセキュリティ監査を実施し、潜在的な脆弱性を早期に発見・対処する体制を構築してください。
一時的な緩和策
バージョンアップが直ちに困難な場合、一時的な緩和策として、当該プラグインの利用を停止することも考えられます。ただし、これによりウェブサイトの機能に影響が出る可能性があるため、慎重な検討が必要です。最も推奨される対策は、速やかなバージョンアップです。
確認方法
ご利用のWordPress管理画面から、「AI ChatBot with ChatGPT and Content Generator by AYS」プラグインのバージョンを確認してください。バージョンが2.7.5以前の場合は、脆弱性の影響を受ける可能性があります。
参考情報
- CVE-2026-1336 詳細: https://cvefeed.io/vuln/detail/CVE-2026-1336