CVEウォッチ

CVE-2026-1981: WordPressプラグイン「Winston AI」における認証済みユーザーによる設定改ざんの脆弱性

March 7, 2026 ·

概要

WordPressプラグイン「HUMN-1 AI Website Scanner & Human Certification by Winston AI」に、認証済みユーザーがAPI接続設定をリセットできる脆弱性（CVE-2026-1981）が報告されました。この脆弱性は、winston_disconnect()関数における権限チェックの不備に起因し、購読者レベル以上の権限を持つ認証済み攻撃者が、AJAXアクションwinston_disconnectを介してプラグインのAPI接続設定を不正にリセットする可能性があります。

影響範囲

WordPressプラグイン「HUMN-1 AI Website Scanner & Human Certification by Winston AI」のバージョン0.0.3およびそれ以前の全てのバージョンが本脆弱性の影響を受けると報告されています。

想定される影響

攻撃者がプラグインのAPI接続設定をリセットすることで、プラグインが提供するAIスキャンや認証機能が一時的に利用できなくなる可能性があります。これにより、ウェブサイトの運用に支障が生じる恐れがあります。

攻撃成立条件・悪用状況

攻撃成立条件

  • 攻撃者は、対象のWordPressサイトにおいて購読者レベル以上の認証済みアカウントを持っている必要があります。
  • 脆弱性のあるバージョンのプラグインがインストールされている必要があります。

悪用状況

現時点では、この脆弱性が実際に悪用されているという具体的な報告は確認されていません。

推奨対策

今すぐできる対策（最優先）

  • プラグインのアップデート: 開発元から修正版がリリースされている場合は、速やかに最新バージョンにアップデートしてください。

中長期的な対策

  • 最小権限の原則: WordPressユーザーの権限は、業務上必要な最小限に留めるように見直してください。
  • セキュリティ監視の強化: WordPressサイトの活動ログを定期的に監視し、不審なアクセスや設定変更がないか確認してください。

一時的な緩和策

現時点では、根本的な解決策はプラグインのアップデートであるため、一時的な緩和策は限定的です。可能であれば、アップデートが提供されるまでプラグインの利用を一時停止することも検討してください。ただし、これによりプラグインの機能が利用できなくなる点に注意が必要です。

確認方法

WordPress管理画面の「プラグイン」セクションで、「HUMN-1 AI Website Scanner & Human Certification by Winston AI」プラグインのバージョンを確認してください。バージョンが0.0.3以下である場合、本脆弱性の影響を受ける可能性があります。

参考情報