JVNDB-2026-001822

liquidwebのWordPress用restrict contentにおけるユーザ制御の鍵による認証回避に関する脆弱性

WordPress用のMembership PluginであるRestrict Contentプラグインには、権限チェックが欠如しているため、バージョン3.2.16までのすべてのバージョンにおいて、「rcp_stripe_create_setup_intent_for_saved_card」関数を通じて認証が行われない脆弱性があります。さらに、このプラグインはユーザーが制御可能なキーを検証しないため、認証されていない攻撃者でも任意のメンバーシップのStripe SetupIntentのclient_secret値を漏洩させる可能性があります。

liquidweb

• restrict content 3.2.17 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う情報について、書き換えは発生しません。
さらに、当該ソフトウェアは停止しません。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

wordfence

• Wordfence Intelligence : Membership Plugin  Restrict Content <= 3.2.16 - Missing Authentication to Insecure Direct Object Reference and Sensitive Information Exposure

1. ユーザ制御の鍵による認証回避(CWE-639) [その他]

1. CVE-2025-14844

1. National Vulnerability Database (NVD) : CVE-2025-14844
2. 関連文書 : The SetupIntent object | Stripe API Reference
3. 関連文書 : Changeset 3438168 for restrict-content/tags/3.2.17/core/includes/gateways/stripe/functions.php  WordPress Plugin Repository
4. 関連文書 : functions.php in restrict-content/tags/3.2.16/core/includes/gateways/stripe      WordPress Plugin Repository (https://plugins.trac.wordpress.org/browser/restrict-content/tags/3.2.16/core/includes/gateways/stripe/functions.php#L848)
5. 関連文書 : functions.php in restrict-content/tags/3.2.16/core/includes/gateways/stripe      WordPress Plugin Repository (https://plugins.trac.wordpress.org/browser/restrict-content/tags/3.2.16/core/includes/gateways/stripe/functions.php#L987)
6. 関連文書 : CWE -    CWE-639: Authorization Bypass Through User-Controlled Key (4.19.1)

• [2026年01月26日]
    掲載