CVEウォッチ

【注意喚起】WordPressプラグイン「MDJM Event Management」における認証不要のデータ改変の脆弱性（CVE-2026-1650）

March 7, 2026 ·

概要

WordPress向けプラグイン「MDJM Event Management」において、認証されていないユーザーがイベントのカスタムフィールドを削除できる脆弱性（CVE-2026-1650）が報告されました。この脆弱性は、特定の機能における権限チェックの不備に起因するものです。

影響範囲

この脆弱性の影響を受けるのは、MDJM Event Managementプラグインのバージョン1.7.8.1を含む、それ以前のすべてのバージョンとされています。

想定される影響

本脆弱性が悪用された場合、認証されていない攻撃者によって、WordPressサイト上に存在するカスタムイベントフィールドが任意に削除される可能性があります。これにより、イベント情報の表示に問題が生じたり、データの整合性が損なわれたりする恐れがあります。

攻撃成立条件・悪用状況

攻撃成立条件

  • 脆弱なバージョンのMDJM Event ManagementプラグインがインストールされているWordPressサイトが対象となります。
  • 攻撃には認証が不要であり、悪意のあるリクエストを送信するだけで攻撃が成立する可能性があります。

悪用状況

現時点では、このCVEに関する具体的な悪用状況は報告されていません。

推奨対策

今すぐできる対策（最優先）

  • MDJM Event Managementプラグインのアップデート: 開発元から提供されている最新バージョンへ速やかにアップデートしてください。これにより、本脆弱性が修正されます。

中長期的な対策

  • WordPress本体および他のプラグイン・テーマの更新: WordPress本体、使用しているテーマ、その他のプラグインも常に最新の状態に保ち、既知の脆弱性から保護してください。
  • 不要なプラグインの削除: 使用していないプラグインは、セキュリティリスクを低減するためにも削除を検討してください。
  • 定期的なバックアップの実施: 万が一の事態に備え、WordPressサイトのデータとデータベースの定期的なバックアップを必ず実施してください。

一時的な緩和策

  • プラグインのアップデートがすぐに困難な場合、一時的にMDJM Event Managementプラグインを無効化することも検討できます。ただし、この場合、イベント管理機能が利用できなくなる点にご注意ください。
  • WAF（Web Application Firewall）を導入している場合、不審なリクエストをブロックするルールを設定することで、攻撃を緩和できる可能性があります。

確認方法

ご自身のWordPressサイトでMDJM Event Managementプラグインを使用している場合、WordPress管理画面の「プラグイン」→「インストール済みプラグイン」から、プラグインのバージョンを確認してください。

参考情報