WordPressの「Wild Apricot Login」プラグインは、バージョン1.0.18を含むすべてのバージョンにおいて、SSO（シングルサインオン）のメールアドレス衝突による認証バイパスの脆弱性があります。WildApricotの連絡先IDのマッピングが見つからない場合、プラグインは`Module.php`内のネットワーク全体で有効な`get_user_by('email', ...)`を使用してWordPressユーザーを特定し、`UserSynchronizer::syncWaContact()`がそのユーザーを関連付け、`Controller::login()`が`wp_set_auth_cookie()`を通じてセッションクッキーを発行します。この処理は`is_super_admin()`によってのみ保護されており、一致したWordPressアカウントの所有権の証明（パスワード、ローカルアカウントのリンク確認、受信トレイの確認、または管理者による承認など）を一切要求しません。これにより、カスタムレベルのWildApricotメンバーシップ権限を持つ攻撃者が、パスベースのマルチサイトネットワーク上で、既存のWordPressサブサイトの管理者として認証し、被害者の認証情報を一切使用せずに、有効なネットワーク全体で有効な認証クッキーを取得することが可能になります。この脆弱性を悪用するには、攻撃者が、ターゲットとなるWordPress管理者のメールアドレスと一致するメールアドレスを持つWildApricotの連絡先を制御している必要があります。これは、関連付けられたWildApricot組織の公開されている無料メンバーシップ登録を通じて実現可能です。また、攻撃者は、Wild Apricot Loginが有効になっている任意のサブサイトでSSOフローを完了する必要があります。WordPressのユーザーIDと認証クッキーはネットワーク全体で有効であるため、そのサブサイトで発行されたクッキーは、被害者が管理者権限を持つ他のすべてのサブサイトでも有効です。
CVSS 3.1: 7.5 (高い) (CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H)