まず、wp-config.phpにWP_EASY_PAY_VERSIONを記載しているか確認し、公式サイトの最新バージョンと照らし合わせるべきです。また、wp_usersテーブルのrole列がsubscriber以上に設定されているユーザーを一覧化し、不要な権限の付与がないか点検することが肝要です。

はい。wp-content/plugins/wp-easy-pay/shortcodes.phpの第45行目に、user_can('delete_post')の検証が欠如しているため、認証バイパスが可能となります。このため、wp-cliで`wp plugin list –field=name`を実行し、該当プラグインがインストールされているかを確認し、`wp plugin update wp-easy-pay`でパッチ適用を検討すべきです。

変更管理の観点から、wp-easy-payのバージョン変更をGitリポジトリにコミットし、変更履歴を保持することが重要です。また、wp-adminのアクセスログを分析し、異常なdelete_postアクションが発生していないか監視する必要があります。ベンダー情報としては、Squareの公式サポートページで、wp-easy-payのセキュリティアップデート履歴を定期的に確認することを推奨します。

wp-easy-payのプラグイン開発者に、user_has_capフィルターを追加して認証ロジックを強化するよう要望するべきです。また、wp_optionsテーブルのwp_easy_pay_settingsに保存されているアクセス制御設定を、wp_usermetaと連携させることで、権限の細分化を試みるべきです。これにより、サブスクリプターレベルのユーザーがpost_type='page'を削除できなくなるでしょう。

許容されません。しかし、wp-cliで`wp plugin deactivate wp-easy-pay`を実行し、代替の決済フォームプラグインに移行するまでには、現状のwp-easy-payの利用状況をwp_postsテーブルから分析する必要があります。これは、技術的な妥協と倫理的責任のバランスを取る作業です。

CVSS 4.3という中程度の深刻度ですが、wp-adminのパスワードが強化されていない場合、サブスクリプターレベルのユーザーがroot権限を取得する可能性も考えられます。このため、wp-login.phpの強制的な2要素認証導入を含む、wp-config.phpのセキュリティ設定見直しを推奨します。また、wp-cron.phpのスケジュールを変更し、wp-easy-payのスキャンを毎日実施する監視体制を構築すべきです。