WordPressプラグイン「Paid Membership Subscriptions」において深刻なセキュリティ脆弱性が発見された。
この脆弱性はCVE-2025-49870として追跡されており、バージョン2.15.1以前のものに影響する。同プラグインは10,000以上のサイトでメンバーシップ管理と定期支払いの管理に使用されている。
脆弱性は認証不要のSQLインジェクションで、攻撃者はログイン認証情報なしでデータベースに悪意のあるSQLクエリを注入できる。Patchstack Allianceの研究者ChuongVNが問題を特定し、バージョン2.15.2で対処されていることを確認した。
バグはプラグインがPayPalのInstant Payment Notificationsを処理する方法に起因し、ユーザー提供データから直接支払いIDを抽出し、適切な検証なしにデータベースクエリに挿入する。
開発者はバージョン2.15.2で支払いIDの数値確認、プリペアドステートメントへの置き換え、ユーザー入力処理の保護措置強化を実施した。プラグインユーザーは攻撃から保護するため早急にバージョン2.15.2へのアップグレードが推奨されている。
From: 
High-Risk SQLi Flaw Exposes WordPress Memberships Plugin Users
【編集部解説】
今回発見されたPaid Membership SubscriptionsプラグインのSQLインジェクション脆弱性は、現代のWebセキュリティにおいて深刻な問題を浮き彫りにしています。
特に注目すべきは、この脆弱性が「認証不要」であるという点です。通常のSQLインジェクション攻撃では何らかの認証プロセスを経る必要がありますが、本件では攻撃者がログイン認証情報を持たなくても、PayPalのInstant Payment Notifications（IPN）機能を悪用してデータベースに直接アクセスできてしまいます。
技術的な観点から見ると、脆弱性の根本原因は極めて基本的なセキュリティ対策の不備にあります。開発者がユーザー入力データを直接SQLクエリに連結し、適切なエスケープ処理やプリペアドステートメントを使用していませんでした。これは、Webアプリケーションセキュリティの教科書的な失敗例といえるでしょう。
この脆弱性が与える影響の範囲は広範囲に及びます。攻撃者は会員の決済情報、個人情報、パスワードハッシュなど、機密性の高いデータにアクセス可能となります。さらに、データベースの内容を改ざんすることで、不正な取引記録の作成や会員権限の操作も可能になる恐れがあります。
興味深いのは、過去にも類似のWordPressメンバーシップ系プラグインで同様の脆弱性が複数回発生していることです。これは、決済機能を扱うプラグインの開発において、セキュリティ対策が十分に標準化されていない現状を示しています。
今回の事案は、オープンソースエコシステムにおけるセキュリティ管理の課題も浮き彫りにしました。WordPressプラグインは世界中の開発者によって作られていますが、セキュリティ監査やコードレビューの体制は必ずしも統一されていません。特に、決済機能のような機密性の高い処理を扱うプラグインには、より厳格なセキュリティ基準の適用が必要でしょう。
ポジティブな側面としては、Patchstack Allianceのような研究組織による継続的な脆弱性発見活動が功を奏していることが挙げられます。また、開発者が迅速にパッチをリリースし、プリペアドステートメントの採用など根本的な対策を実施した点も評価できます。
長期的な視点では、この事案がWordPressコミュニティ全体のセキュリティ意識向上につながる可能性があります。特に、決済機能を持つプラグインの開発・運用において、セキュア・バイ・デザインの原則がより重視されるようになることが期待されます。
【用語解説】
SQLインジェクション
Webアプリケーションの脆弱性の一つで、攻撃者が悪意のあるSQLクエリをデータベースに送信してデータを不正に取得・改ざん・削除する攻撃手法である。不適切な入力検証により発生する。
CVE-2025-49870
今回の脆弱性に割り当てられた固有の識別番号である。CVE（Common Vulnerabilities and Exposures）は、公に知られているセキュリティ脆弱性に対する一意の識別子を提供するシステムだ。
認証不要（Unauthenticated）
ログインや認証プロセスを経ることなく攻撃を実行できることを意味する。これにより攻撃の敷居が大幅に下がり、脅威度が高くなる。
プリペアドステートメント
SQLインジェクション攻撃を防ぐセキュリティ対策の一つ。事前に定義されたSQL文のテンプレートに対して、パラメータを別途バインドすることで、悪意のあるコードの実行を防ぐ。
PayPal IPN（Instant Payment Notifications）
PayPalが提供する決済通知機能で、取引が完了した際にECサイトのサーバーに自動的に通知を送信する仕組みである。
Patchstack Alliance
WordPressエコシステムのセキュリティ向上を目的とした研究組織で、プラグインの脆弱性を発見・報告する活動を行っている。
【参考リンク】
Paid Membership Subscriptions（外部）
WordPressサイトにメンバーシップ機能と定期支払い機能を追加するプラグイン公式サイト
Patchstack（外部）
WordPressエコシステムのセキュリティに特化した企業の公式サイト
CISA（Cybersecurity and Infrastructure Security Agency）（外部）
アメリカの国土安全保障省傘下のサイバーセキュリティ専門機関の公式サイト
【参考記事】
SQL Injection – Paid Membership Subscriptions Plugin（外部）
Patchstackによる技術的詳細記事。脆弱性のコード解析と修正内容を詳しく解説
CVE-2025-49870 Impact, Exploitability, and Mitigation Steps（外部）
Wizによる脆弱性データベース記事。CVE-2025-49870の技術的詳細と影響評価を解説
【編集部後記】
今回の脆弱性発見は、私たちが普段何気なく使っているWordPressプラグインのセキュリティについて改めて考えるきっかけになりそうですね。特に決済機能を扱うプラグインの場合、どのような対策を講じるべきか皆さんはどうお考えでしょうか。
セキュリティ更新の通知が来た時、つい後回しにしてしまうことはありませんか？また、プラグイン選択時にセキュリティ面をどの程度重視されているでしょうか。今回のような事例を踏まえ、安全なWebサイト運営のために私たちができることを一緒に考えていければと思います。皆さんの実体験や対策方法もぜひ聞かせてください。
