{ "schemaVersion": "1.0", "publisher": "脆弱性ナビ", "origin": "https://zeijaku.ittrip.xyz", "terms": [ { "name": "CVE Program", "url": "https://www.cve.org/legal/termsofuse", "notice": "CVE content is used subject to the CVE Program Terms of Use. CVE is a trademark of The MITRE Corporation.", "licenseText": "CVE content: Copyright The MITRE Corporation. CVE is a trademark of The MITRE Corporation.\nCVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy.\nDisclaimers: ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN \"AS IS\" BASIS AND THE CONTRIBUTOR, THE ORGANIZATION HE/SHE REPRESENTS OR IS SPONSORED BY (IF ANY), THE MITRE CORPORATION, ITS BOARD OF TRUSTEES, OFFICERS, AGENTS, AND EMPLOYEES, DISCLAIM ALL WARRANTIES, EXPRESS OR IMPLIED, INCLUDING BUT NOT LIMITED TO ANY WARRANTY THAT THE USE OF THE INFORMATION THEREIN WILL NOT INFRINGE ANY RIGHTS OR ANY IMPLIED WARRANTIES OF MERCHANTABILITY OR FITNESS FOR A PARTICULAR PURPOSE." }, { "name": "NIST NVD", "url": "https://nvd.nist.gov/general/faq", "notice": "This product uses data from the NVD API but is not endorsed or certified by the NVD." }, { "name": "JVN", "url": "https://jvn.jp/contact/index.html", "notice": "出典：JVN（JPCERT/CC・IPA）。原文は各レコードの参照先を確認してください。" }, { "name": "CISA KEV", "url": "https://github.com/cisagov/kev-data", "notice": "Known Exploited Vulnerabilities catalog, CISA. CC0." } ], "records": [ { "id": "CVE-2026-110701", "aliases": [], "title": "CP Multi View Events Calendar：ブラウザー上での不正な処理", "summary": "CP Multi View Events Calendarを使っている方が確認する情報です。公表文は「ブラウザー上での不正な処理」に関する問題を示しています。公開された対象範囲を下に日本語で示しています。", "risk": "攻撃者が用意した内容を表示した利用者のブラウザーで、不正なプログラムが動くおそれがあります。表示の書き換えや、利用者の権限を悪用する操作につながり得ます。", "product": "CP Multi View Events Calendar", "category": "wordpress", "component": "plugin", "severity": "high", "cvss": 7.2, "cvssVersion": "3.1", "cvssSource": "security@wordfence.com", "cvssVector": "CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:L/I:L/A:N", "affected": [ { "product": "CP Multi View Events Calendar", "range": "<= 1.4.42" } ], "fixed": [], "steps": [ "「CVE-2026-110701」と現在の版を管理担当者・提供元へ伝え、この問題に対応した修正版が提供されているか確認します。下の問い合わせ文に記入すれば、そのまま依頼できます。対象範囲の上限から修正版の番号を推測しないでください。", "ファイルとデータベースのバックアップを取り、管理画面の「ダッシュボード」→「更新」で該当プラグインの更新を実行します。更新が表示されない有料製品などは、購入先・開発元の正規の配布経路を利用してください。" ], "references": [ { "url": "https://nvd.nist.gov/vuln/detail/CVE-2026-110701", "label": "NVDの原文" }, { "url": "https://plugins.trac.wordpress.org/browser/cp-multi-view-calendar/tags/1.4.42/DC_MultiViewCal/src/Plugins/jquery.calendar.js#L2689", "label": "security@wordfence.com" }, { "url": "https://plugins.trac.wordpress.org/browser/cp-multi-view-calendar/tags/1.4.42/cp-multi-view-calendar.php#L32", "label": "security@wordfence.com" }, { "url": "https://plugins.trac.wordpress.org/browser/cp-multi-view-calendar/tags/1.4.42/php/datafeed.php#L23", "label": "security@wordfence.com" }, { "url": "https://plugins.trac.wordpress.org/browser/cp-multi-view-calendar/tags/1.4.42/php/datafeed.php#L340", "label": "security@wordfence.com" }, { "url": "https://plugins.trac.wordpress.org/browser/cp-multi-view-calendar/tags/1.4.42/php/datafeed.php#L89", "label": "security@wordfence.com" }, { "url": "https://plugins.trac.wordpress.org/changeset/3748683/cp-multi-view-calendar/trunk/DC_MultiViewCal/src/Plugins/jquery.calendar.js", "label": "security@wordfence.com" }, { "url": "https://plugins.trac.wordpress.org/log/cp-multi-view-calendar/", "label": "security@wordfence.com" }, { "url": "https://www.wordfence.com/threat-intel/vulnerabilities/id/12f2d3d3-4cc1-4569-9183-62f4841e72f7?source=cve", "label": "security@wordfence.com" }, { "url": "https://www.first.org/cvss/v3.1/specification-document", "label": "FIRST公式：CVSS 3.1の条件の定義" }, { "url": "https://wordpress.org/documentation/article/plugins-screen/", "label": "WordPress公式：プラグイン一覧" }, { "url": "https://wordpress.org/documentation/article/site-health-screen/", "label": "WordPress公式：サイトヘルスの情報" }, { "url": "https://wordpress.org/documentation/article/updating-wordpress/", "label": "WordPress公式：本体の更新" }, { "url": "https://wordpress.org/documentation/article/dashboard-updates-screen/", "label": "WordPress公式：更新画面" }, { "url": "https://wordpress.org/documentation/article/manage-plugins/", "label": "WordPress公式：プラグインの確認と更新" } ], "publishedAt": "2026-10-16T07:17:11.643Z", "modifiedAt": "2026-10-16T15:17:11.770Z", "fetchedAt": "2026-10-22T22:09:30.689Z", "exploitStatus": "unknown", "sources": [ "NVD" ], "originalText": "The CP Multi View Events Calendar plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the 'CalendarTitle' parameter in all versions up to, and including, 1.4.42 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. This requires that an administrator has enabled the \"Allow edition in frontend?\" option on at least one calendar view, which exposes the unauthenticated add endpoint and a publicly accessible nonce.", "sourceTitle": "CVE-2026-110701", "summaryMethod": "公開データの対象範囲・CVSS条件を日本語化し、製品ごとの一般的な操作手順を補足しています。個別の全文翻訳・環境診断ではありません。", "state": "published", "affectedDetails": [ { "vendor": "codepeople", "product": "CP Multi View Events Calendar", "defaultStatus": "unaffected", "versions": [ { "version": "0", "lessThanOrEqual": "1.4.42", "versionType": "semver", "status": "affected" } ] } ], "sourceSnapshots": [ { "source": "NVD", "modifiedAt": "2026-10-16T15:17:11.770Z", "fetchedAt": "2026-10-22T22:09:30.689Z", "state": "published" } ], "sourceSummary": "CP Multi View Events Calendarにブラウザー上での不正な処理に関する脆弱性情報があります。影響を受ける条件を確認してください。", "sourceRisk": "利用者のブラウザー上で不正なスクリプトが動く可能性があります。成立条件は原文を確認してください。", "guidance": { "schemaVersion": "1.0", "method": "structured", "reviewedAt": null, "reviewState": "unreviewed", "summary": "CP Multi View Events Calendarを使っている方が確認する情報です。公表文は「ブラウザー上での不正な処理」に関する問題を示しています。公開された対象範囲を下に日本語で示しています。", "risk": "攻撃者が用意した内容を表示した利用者のブラウザーで、不正なプログラムが動くおそれがあります。表示の書き換えや、利用者の権限を悪用する操作につながり得ます。", "applicability": [ { "text": "最初に「CP Multi View Events Calendar」を使っているか、開発元・製品名・バージョンを確認します。同じカテゴリの製品を使っているだけでは、この問題の対象とは限りません。", "kind": "check", "sourceUrls": [ "https://nvd.nist.gov/vuln/detail/CVE-2026-110701", "https://plugins.trac.wordpress.org/browser/cp-multi-view-calendar/tags/1.4.42/DC_MultiViewCal/src/Plugins/jquery.calendar.js#L2689", "https://plugins.trac.wordpress.org/browser/cp-multi-view-calendar/tags/1.4.42/cp-multi-view-calendar.php#L32", "https://plugins.trac.wordpress.org/browser/cp-multi-view-calendar/tags/1.4.42/php/datafeed.php#L23", "https://plugins.trac.wordpress.org/browser/cp-multi-view-calendar/tags/1.4.42/php/datafeed.php#L340", "https://plugins.trac.wordpress.org/browser/cp-multi-view-calendar/tags/1.4.42/php/datafeed.php#L89", "https://plugins.trac.wordpress.org/changeset/3748683/cp-multi-view-calendar/trunk/DC_MultiViewCal/src/Plugins/jquery.calendar.js", "https://plugins.trac.wordpress.org/log/cp-multi-view-calendar/", "https://www.wordfence.com/threat-intel/vulnerabilities/id/12f2d3d3-4cc1-4569-9183-62f4841e72f7?source=cve" ] }, { "text": "公開データの対象範囲：CP Multi View Events Calendar — 1.4.42以下。この範囲に加え、下に記載する権限・構成などの条件も照合してください。", "kind": "fact", "sourceUrls": [ "https://nvd.nist.gov/vuln/detail/CVE-2026-110701", "https://plugins.trac.wordpress.org/browser/cp-multi-view-calendar/tags/1.4.42/DC_MultiViewCal/src/Plugins/jquery.calendar.js#L2689", "https://plugins.trac.wordpress.org/browser/cp-multi-view-calendar/tags/1.4.42/cp-multi-view-calendar.php#L32", "https://plugins.trac.wordpress.org/browser/cp-multi-view-calendar/tags/1.4.42/php/datafeed.php#L23", "https://plugins.trac.wordpress.org/browser/cp-multi-view-calendar/tags/1.4.42/php/datafeed.php#L340", "https://plugins.trac.wordpress.org/browser/cp-multi-view-calendar/tags/1.4.42/php/datafeed.php#L89", "https://plugins.trac.wordpress.org/changeset/3748683/cp-multi-view-calendar/trunk/DC_MultiViewCal/src/Plugins/jquery.calendar.js", "https://plugins.trac.wordpress.org/log/cp-multi-view-calendar/", "https://www.wordfence.com/threat-intel/vulnerabilities/id/12f2d3d3-4cc1-4569-9183-62f4841e72f7?source=cve" ] }, { "text": "公表されたCVSS評価では、攻撃前に対象システムの権限を持っている必要はありません。他の構成・機能の条件まで不要という意味ではありません。", "kind": "fact", "sourceUrls": [ "https://nvd.nist.gov/vuln/detail/CVE-2026-110701", "https://plugins.trac.wordpress.org/browser/cp-multi-view-calendar/tags/1.4.42/DC_MultiViewCal/src/Plugins/jquery.calendar.js#L2689", "https://plugins.trac.wordpress.org/browser/cp-multi-view-calendar/tags/1.4.42/cp-multi-view-calendar.php#L32", "https://plugins.trac.wordpress.org/browser/cp-multi-view-calendar/tags/1.4.42/php/datafeed.php#L23", "https://plugins.trac.wordpress.org/browser/cp-multi-view-calendar/tags/1.4.42/php/datafeed.php#L340", "https://plugins.trac.wordpress.org/browser/cp-multi-view-calendar/tags/1.4.42/php/datafeed.php#L89", "https://plugins.trac.wordpress.org/changeset/3748683/cp-multi-view-calendar/trunk/DC_MultiViewCal/src/Plugins/jquery.calendar.js", "https://plugins.trac.wordpress.org/log/cp-multi-view-calendar/", "https://www.wordfence.com/threat-intel/vulnerabilities/id/12f2d3d3-4cc1-4569-9183-62f4841e72f7?source=cve", "https://www.first.org/cvss/v3.1/specification-document" ] }, { "text": "公表されたCVSS評価では、ネットワーク越しに攻撃が届く経路があります。あなたの環境がインターネットから到達可能かどうかは、公開設定を別に確認する必要があります。", "kind": "fact", "sourceUrls": [ "https://nvd.nist.gov/vuln/detail/CVE-2026-110701", "https://plugins.trac.wordpress.org/browser/cp-multi-view-calendar/tags/1.4.42/DC_MultiViewCal/src/Plugins/jquery.calendar.js#L2689", "https://plugins.trac.wordpress.org/browser/cp-multi-view-calendar/tags/1.4.42/cp-multi-view-calendar.php#L32", "https://plugins.trac.wordpress.org/browser/cp-multi-view-calendar/tags/1.4.42/php/datafeed.php#L23", "https://plugins.trac.wordpress.org/browser/cp-multi-view-calendar/tags/1.4.42/php/datafeed.php#L340", "https://plugins.trac.wordpress.org/browser/cp-multi-view-calendar/tags/1.4.42/php/datafeed.php#L89", "https://plugins.trac.wordpress.org/changeset/3748683/cp-multi-view-calendar/trunk/DC_MultiViewCal/src/Plugins/jquery.calendar.js", "https://plugins.trac.wordpress.org/log/cp-multi-view-calendar/", "https://www.wordfence.com/threat-intel/vulnerabilities/id/12f2d3d3-4cc1-4569-9183-62f4841e72f7?source=cve", "https://www.first.org/cvss/v3.1/specification-document" ] }, { "text": "公表されたCVSS評価では、攻撃者以外の利用者がリンクを開くなどの操作をしなくても、攻撃が成立し得ます。", "kind": "fact", "sourceUrls": [ "https://nvd.nist.gov/vuln/detail/CVE-2026-110701", "https://plugins.trac.wordpress.org/browser/cp-multi-view-calendar/tags/1.4.42/DC_MultiViewCal/src/Plugins/jquery.calendar.js#L2689", "https://plugins.trac.wordpress.org/browser/cp-multi-view-calendar/tags/1.4.42/cp-multi-view-calendar.php#L32", "https://plugins.trac.wordpress.org/browser/cp-multi-view-calendar/tags/1.4.42/php/datafeed.php#L23", "https://plugins.trac.wordpress.org/browser/cp-multi-view-calendar/tags/1.4.42/php/datafeed.php#L340", "https://plugins.trac.wordpress.org/browser/cp-multi-view-calendar/tags/1.4.42/php/datafeed.php#L89", "https://plugins.trac.wordpress.org/changeset/3748683/cp-multi-view-calendar/trunk/DC_MultiViewCal/src/Plugins/jquery.calendar.js", "https://plugins.trac.wordpress.org/log/cp-multi-view-calendar/", "https://www.wordfence.com/threat-intel/vulnerabilities/id/12f2d3d3-4cc1-4569-9183-62f4841e72f7?source=cve", "https://www.first.org/cvss/v3.1/specification-document" ] } ], "versionChecks": [ { "text": "WordPressの管理画面にログインし、「プラグイン」→「インストール済みプラグイン」を開きます。「CP Multi View Events Calendar」と同じ製品名・開発元の項目を探し、表示されているバージョンを控えてください。停止中のプラグインも一覧に含めて確認します。", "kind": "procedure", "sourceUrls": [ "https://wordpress.org/documentation/article/plugins-screen/" ] }, { "text": "管理画面に入れない、または同じ名前の製品を判別できない場合は、下の問い合わせ文をサイトの制作会社・管理担当者に送ってください。名前が見つからないという理由だけで、安全とは判定しないでください。", "kind": "procedure", "sourceUrls": [ "https://wordpress.org/documentation/article/site-health-screen/", "https://wordpress.org/documentation/article/plugins-screen/" ] } ], "actions": [ { "text": "「CVE-2026-110701」と現在の版を管理担当者・提供元へ伝え、この問題に対応した修正版が提供されているか確認します。下の問い合わせ文に記入すれば、そのまま依頼できます。対象範囲の上限から修正版の番号を推測しないでください。", "kind": "procedure", "sourceUrls": [ "https://nvd.nist.gov/vuln/detail/CVE-2026-110701", "https://plugins.trac.wordpress.org/browser/cp-multi-view-calendar/tags/1.4.42/DC_MultiViewCal/src/Plugins/jquery.calendar.js#L2689", "https://plugins.trac.wordpress.org/browser/cp-multi-view-calendar/tags/1.4.42/cp-multi-view-calendar.php#L32", "https://plugins.trac.wordpress.org/browser/cp-multi-view-calendar/tags/1.4.42/php/datafeed.php#L23", "https://plugins.trac.wordpress.org/browser/cp-multi-view-calendar/tags/1.4.42/php/datafeed.php#L340", "https://plugins.trac.wordpress.org/browser/cp-multi-view-calendar/tags/1.4.42/php/datafeed.php#L89", "https://plugins.trac.wordpress.org/changeset/3748683/cp-multi-view-calendar/trunk/DC_MultiViewCal/src/Plugins/jquery.calendar.js", "https://plugins.trac.wordpress.org/log/cp-multi-view-calendar/", "https://www.wordfence.com/threat-intel/vulnerabilities/id/12f2d3d3-4cc1-4569-9183-62f4841e72f7?source=cve" ] }, { "text": "ファイルとデータベースのバックアップを取り、管理画面の「ダッシュボード」→「更新」で該当プラグインの更新を実行します。更新が表示されない有料製品などは、購入先・開発元の正規の配布経路を利用してください。", "kind": "procedure", "sourceUrls": [ "https://wordpress.org/documentation/article/updating-wordpress/", "https://wordpress.org/documentation/article/dashboard-updates-screen/", "https://wordpress.org/documentation/article/manage-plugins/" ] } ], "temporaryMitigations": [ { "text": "更新できない場合は、対象機能の停止や公開範囲の制限が使えるかを管理担当者と検討し、実施内容と更新予定日を記録してください。プラグインの「無効化」だけでこの脆弱性を防げるかは個別に確認が必要です。", "kind": "procedure", "sourceUrls": [ "https://wordpress.org/documentation/article/plugins-screen/", "https://nvd.nist.gov/vuln/detail/CVE-2026-110701", "https://plugins.trac.wordpress.org/browser/cp-multi-view-calendar/tags/1.4.42/DC_MultiViewCal/src/Plugins/jquery.calendar.js#L2689", "https://plugins.trac.wordpress.org/browser/cp-multi-view-calendar/tags/1.4.42/cp-multi-view-calendar.php#L32", "https://plugins.trac.wordpress.org/browser/cp-multi-view-calendar/tags/1.4.42/php/datafeed.php#L23", "https://plugins.trac.wordpress.org/browser/cp-multi-view-calendar/tags/1.4.42/php/datafeed.php#L340", "https://plugins.trac.wordpress.org/browser/cp-multi-view-calendar/tags/1.4.42/php/datafeed.php#L89", "https://plugins.trac.wordpress.org/changeset/3748683/cp-multi-view-calendar/trunk/DC_MultiViewCal/src/Plugins/jquery.calendar.js", "https://plugins.trac.wordpress.org/log/cp-multi-view-calendar/", "https://www.wordfence.com/threat-intel/vulnerabilities/id/12f2d3d3-4cc1-4569-9183-62f4841e72f7?source=cve" ] } ], "verification": [ { "text": "更新後に同じ管理画面を開き直してバージョンを記録します。修正対象の系列・版と一致するかを照合し、サイト表示、ログイン、フォームや購入など普段使う主要な操作も確認してください。更新ボタンを押しただけでは完了としないでください。", "kind": "procedure", "sourceUrls": [ "https://wordpress.org/documentation/article/updating-wordpress/", "https://wordpress.org/documentation/article/dashboard-updates-screen/" ] } ], "unknowns": [ "取り込んだ公開データには、修正済みと明記されたバージョン番号がありません。「修正されていない」と確定したわけではありません。下の問い合わせ文で、修正版の番号・提供場所・適用予定を確認できます。" ], "supportRequest": "件名：CVE-2026-110701（CP Multi View Events Calendar）の影響と対応状況の確認\n\n利用中のサイト・機器・サービス：[記入してください]\n製品名・開発元：[記入してください]\n現在のバージョン・ビルド番号：[不明なら「不明」と記入]\n\nCVE-2026-110701について、次を教えてください。\n1. この環境は対象ですか。対象外の場合は、版・設定・機能などの判断理由を教えてください。\n2. 対象の場合、修正を含む版・パッケージ番号と、更新方法を教えてください。古い版に修正を取り込んでいる場合は、このCVEへの対応状況を教えてください。\n3. いつ対応できますか。再起動・停止時間・事前のバックアップや確認作業は必要ですか。\n4. すぐ更新できない場合、正式な回避策とその限界・副作用を教えてください。利用を続けてよい条件も知りたいです。\n5. 対応完了後、修正を確認できる版・設定・対応日時を連絡してください。\n\n確認している情報：https://zeijaku.ittrip.xyz/vulnerabilities/CVE-2026-110701", "sources": [ { "url": "https://nvd.nist.gov/vuln/detail/CVE-2026-110701", "label": "NVDの原文" }, { "url": "https://plugins.trac.wordpress.org/browser/cp-multi-view-calendar/tags/1.4.42/DC_MultiViewCal/src/Plugins/jquery.calendar.js#L2689", "label": "security@wordfence.com" }, { "url": "https://plugins.trac.wordpress.org/browser/cp-multi-view-calendar/tags/1.4.42/cp-multi-view-calendar.php#L32", "label": "security@wordfence.com" }, { "url": "https://plugins.trac.wordpress.org/browser/cp-multi-view-calendar/tags/1.4.42/php/datafeed.php#L23", "label": "security@wordfence.com" }, { "url": "https://plugins.trac.wordpress.org/browser/cp-multi-view-calendar/tags/1.4.42/php/datafeed.php#L340", "label": "security@wordfence.com" }, { "url": "https://plugins.trac.wordpress.org/browser/cp-multi-view-calendar/tags/1.4.42/php/datafeed.php#L89", "label": "security@wordfence.com" }, { "url": "https://plugins.trac.wordpress.org/changeset/3748683/cp-multi-view-calendar/trunk/DC_MultiViewCal/src/Plugins/jquery.calendar.js", "label": "security@wordfence.com" }, { "url": "https://plugins.trac.wordpress.org/log/cp-multi-view-calendar/", "label": "security@wordfence.com" }, { "url": "https://www.wordfence.com/threat-intel/vulnerabilities/id/12f2d3d3-4cc1-4569-9183-62f4841e72f7?source=cve", "label": "security@wordfence.com" }, { "url": "https://www.first.org/cvss/v3.1/specification-document", "label": "FIRST公式：CVSS 3.1の条件の定義" }, { "url": "https://wordpress.org/documentation/article/plugins-screen/", "label": "WordPress公式：プラグイン一覧" }, { "url": "https://wordpress.org/documentation/article/site-health-screen/", "label": "WordPress公式：サイトヘルスの情報" }, { "url": "https://wordpress.org/documentation/article/updating-wordpress/", "label": "WordPress公式：本体の更新" }, { "url": "https://wordpress.org/documentation/article/dashboard-updates-screen/", "label": "WordPress公式：更新画面" }, { "url": "https://wordpress.org/documentation/article/manage-plugins/", "label": "WordPress公式：プラグインの確認と更新" } ] } }, { "id": "CVE-2026-110664", "aliases": [], "title": "Premium Packages – Sell Digital Products Securely：ブラウザー上での不正な処理", "summary": "Premium Packages – Sell Digital Products Securelyを使っている方が確認する情報です。公表文は「ブラウザー上での不正な処理」に関する問題を示しています。公開された対象範囲を下に日本語で示しています。", "risk": "攻撃者が用意した内容を表示した利用者のブラウザーで、不正なプログラムが動くおそれがあります。表示の書き換えや、利用者の権限を悪用する操作につながり得ます。", "product": "Premium Packages – Sell Digital Products Securely", "category": "wordpress", "component": "plugin", "severity": "medium", "cvss": 6.4, "cvssVersion": "3.1", "cvssSource": "security@wordfence.com", "cvssVector": "CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:N", "affected": [ { "product": "Premium Packages – Sell Digital Products Securely", "range": "<= 7.2.8" } ], "fixed": [], "steps": [ "「CVE-2026-110664」と現在の版を管理担当者・提供元へ伝え、この問題に対応した修正版が提供されているか確認します。下の問い合わせ文に記入すれば、そのまま依頼できます。対象範囲の上限から修正版の番号を推測しないでください。", "ファイルとデータベースのバックアップを取り、管理画面の「ダッシュボード」→「更新」で該当プラグインの更新を実行します。更新が表示されない有料製品などは、購入先・開発元の正規の配布経路を利用してください。" ], "references": [ { "url": "https://nvd.nist.gov/vuln/detail/CVE-2026-110664", "label": "NVDの原文" }, { "url": "https://plugins.trac.wordpress.org/browser/wpdm-premium-packages/", "label": "security@wordfence.com" }, { "url": "https://plugins.trac.wordpress.org/browser/wpdm-premium-packages/tags/7.2.8/src/Admin/Order/views/order-notes.php#L28", "label": "security@wordfence.com" }, { "url": "https://plugins.trac.wordpress.org/browser/wpdm-premium-packages/tags/7.2.8/src/Api/Endpoints/OrderEndpoint.php#L101", "label": "security@wordfence.com" }, { "url": "https://plugins.trac.wordpress.org/browser/wpdm-premium-packages/tags/7.2.8/src/Api/Endpoints/OrderEndpoint.php#L501", "label": "security@wordfence.com" }, { "url": "https://plugins.trac.wordpress.org/browser/wpdm-premium-packages/tags/7.2.8/src/Order/OrderService.php#L700", "label": "security@wordfence.com" }, { "url": "https://plugins.trac.wordpress.org/changeset/3747528/wpdm-premium-packages/trunk/src/Admin/Order/views/order-notes.php", "label": "security@wordfence.com" }, { "url": "https://www.wordfence.com/threat-intel/vulnerabilities/id/20042ecf-a8fd-4b36-80d9-d338c8795433?source=cve", "label": "security@wordfence.com" }, { "url": "https://www.first.org/cvss/v3.1/specification-document", "label": "FIRST公式：CVSS 3.1の条件の定義" }, { "url": "https://wordpress.org/documentation/article/plugins-screen/", "label": "WordPress公式：プラグイン一覧" }, { "url": "https://wordpress.org/documentation/article/site-health-screen/", "label": "WordPress公式：サイトヘルスの情報" }, { "url": "https://wordpress.org/documentation/article/updating-wordpress/", "label": "WordPress公式：本体の更新" }, { "url": "https://wordpress.org/documentation/article/dashboard-updates-screen/", "label": "WordPress公式：更新画面" }, { "url": "https://wordpress.org/documentation/article/manage-plugins/", "label": "WordPress公式：プラグインの確認と更新" } ], "publishedAt": "2026-10-16T07:17:11.490Z", "modifiedAt": "2026-10-16T15:17:11.657Z", "fetchedAt": "2026-10-22T22:09:30.689Z", "exploitStatus": "unknown", "sources": [ "NVD" ], "originalText": "The Premium Packages – Sell Digital Products Securely plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the 'note' parameter in all versions up to, and including, 7.2.8 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with subscriber-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. The exploit bypasses tag-based filtering because the payload is stored as a hex-escaped sequence (e.g., \\x3cimg onerror=...\\x3e) that sanitize_textarea_field does not strip, and is only decoded back into a live HTML tag by stripcslashes() during admin rendering — after all sanitization has occurred.", "sourceTitle": "CVE-2026-110664", "summaryMethod": "公開データの対象範囲・CVSS条件を日本語化し、製品ごとの一般的な操作手順を補足しています。個別の全文翻訳・環境診断ではありません。", "state": "published", "affectedDetails": [ { "vendor": "codename065", "product": "Premium Packages – Sell Digital Products Securely", "defaultStatus": "unaffected", "versions": [ { "version": "0", "lessThanOrEqual": "7.2.8", "versionType": "semver", "status": "affected" } ] } ], "sourceSnapshots": [ { "source": "NVD", "modifiedAt": "2026-10-16T15:17:11.657Z", "fetchedAt": "2026-10-22T22:09:30.689Z", "state": "published" } ], "sourceSummary": "Premium Packages – Sell Digital Products Securelyにブラウザー上での不正な処理に関する脆弱性情報があります。影響を受ける条件を確認してください。", "sourceRisk": "利用者のブラウザー上で不正なスクリプトが動く可能性があります。成立条件は原文を確認してください。", "guidance": { "schemaVersion": "1.0", "method": "structured", "reviewedAt": null, "reviewState": "unreviewed", "summary": "Premium Packages – Sell Digital Products Securelyを使っている方が確認する情報です。公表文は「ブラウザー上での不正な処理」に関する問題を示しています。公開された対象範囲を下に日本語で示しています。", "risk": "攻撃者が用意した内容を表示した利用者のブラウザーで、不正なプログラムが動くおそれがあります。表示の書き換えや、利用者の権限を悪用する操作につながり得ます。", "applicability": [ { "text": "最初に「Premium Packages – Sell Digital Products Securely」を使っているか、開発元・製品名・バージョンを確認します。同じカテゴリの製品を使っているだけでは、この問題の対象とは限りません。", "kind": "check", "sourceUrls": [ "https://nvd.nist.gov/vuln/detail/CVE-2026-110664", "https://plugins.trac.wordpress.org/browser/wpdm-premium-packages/", "https://plugins.trac.wordpress.org/browser/wpdm-premium-packages/tags/7.2.8/src/Admin/Order/views/order-notes.php#L28", "https://plugins.trac.wordpress.org/browser/wpdm-premium-packages/tags/7.2.8/src/Api/Endpoints/OrderEndpoint.php#L101", "https://plugins.trac.wordpress.org/browser/wpdm-premium-packages/tags/7.2.8/src/Api/Endpoints/OrderEndpoint.php#L501", "https://plugins.trac.wordpress.org/browser/wpdm-premium-packages/tags/7.2.8/src/Order/OrderService.php#L700", "https://plugins.trac.wordpress.org/changeset/3747528/wpdm-premium-packages/trunk/src/Admin/Order/views/order-notes.php", "https://www.wordfence.com/threat-intel/vulnerabilities/id/20042ecf-a8fd-4b36-80d9-d338c8795433?source=cve" ] }, { "text": "公開データの対象範囲：Premium Packages – Sell Digital Products Securely — 7.2.8以下。この範囲に加え、下に記載する権限・構成などの条件も照合してください。", "kind": "fact", "sourceUrls": [ "https://nvd.nist.gov/vuln/detail/CVE-2026-110664", "https://plugins.trac.wordpress.org/browser/wpdm-premium-packages/", "https://plugins.trac.wordpress.org/browser/wpdm-premium-packages/tags/7.2.8/src/Admin/Order/views/order-notes.php#L28", "https://plugins.trac.wordpress.org/browser/wpdm-premium-packages/tags/7.2.8/src/Api/Endpoints/OrderEndpoint.php#L101", "https://plugins.trac.wordpress.org/browser/wpdm-premium-packages/tags/7.2.8/src/Api/Endpoints/OrderEndpoint.php#L501", "https://plugins.trac.wordpress.org/browser/wpdm-premium-packages/tags/7.2.8/src/Order/OrderService.php#L700", "https://plugins.trac.wordpress.org/changeset/3747528/wpdm-premium-packages/trunk/src/Admin/Order/views/order-notes.php", "https://www.wordfence.com/threat-intel/vulnerabilities/id/20042ecf-a8fd-4b36-80d9-d338c8795433?source=cve" ] }, { "text": "公表されたCVSS評価では、攻撃者は事前に一般利用者程度の権限を持つ必要があります。WordPressの「購読者」「投稿者」などの具体的な役割は、この値だけでは分かりません。", "kind": "fact", "sourceUrls": [ "https://nvd.nist.gov/vuln/detail/CVE-2026-110664", "https://plugins.trac.wordpress.org/browser/wpdm-premium-packages/", "https://plugins.trac.wordpress.org/browser/wpdm-premium-packages/tags/7.2.8/src/Admin/Order/views/order-notes.php#L28", "https://plugins.trac.wordpress.org/browser/wpdm-premium-packages/tags/7.2.8/src/Api/Endpoints/OrderEndpoint.php#L101", "https://plugins.trac.wordpress.org/browser/wpdm-premium-packages/tags/7.2.8/src/Api/Endpoints/OrderEndpoint.php#L501", "https://plugins.trac.wordpress.org/browser/wpdm-premium-packages/tags/7.2.8/src/Order/OrderService.php#L700", "https://plugins.trac.wordpress.org/changeset/3747528/wpdm-premium-packages/trunk/src/Admin/Order/views/order-notes.php", "https://www.wordfence.com/threat-intel/vulnerabilities/id/20042ecf-a8fd-4b36-80d9-d338c8795433?source=cve", "https://www.first.org/cvss/v3.1/specification-document" ] }, { "text": "公表されたCVSS評価では、ネットワーク越しに攻撃が届く経路があります。あなたの環境がインターネットから到達可能かどうかは、公開設定を別に確認する必要があります。", "kind": "fact", "sourceUrls": [ "https://nvd.nist.gov/vuln/detail/CVE-2026-110664", "https://plugins.trac.wordpress.org/browser/wpdm-premium-packages/", "https://plugins.trac.wordpress.org/browser/wpdm-premium-packages/tags/7.2.8/src/Admin/Order/views/order-notes.php#L28", "https://plugins.trac.wordpress.org/browser/wpdm-premium-packages/tags/7.2.8/src/Api/Endpoints/OrderEndpoint.php#L101", "https://plugins.trac.wordpress.org/browser/wpdm-premium-packages/tags/7.2.8/src/Api/Endpoints/OrderEndpoint.php#L501", "https://plugins.trac.wordpress.org/browser/wpdm-premium-packages/tags/7.2.8/src/Order/OrderService.php#L700", "https://plugins.trac.wordpress.org/changeset/3747528/wpdm-premium-packages/trunk/src/Admin/Order/views/order-notes.php", "https://www.wordfence.com/threat-intel/vulnerabilities/id/20042ecf-a8fd-4b36-80d9-d338c8795433?source=cve", "https://www.first.org/cvss/v3.1/specification-document" ] }, { "text": "公表されたCVSS評価では、攻撃者以外の利用者がリンクを開くなどの操作をしなくても、攻撃が成立し得ます。", "kind": "fact", "sourceUrls": [ "https://nvd.nist.gov/vuln/detail/CVE-2026-110664", "https://plugins.trac.wordpress.org/browser/wpdm-premium-packages/", "https://plugins.trac.wordpress.org/browser/wpdm-premium-packages/tags/7.2.8/src/Admin/Order/views/order-notes.php#L28", "https://plugins.trac.wordpress.org/browser/wpdm-premium-packages/tags/7.2.8/src/Api/Endpoints/OrderEndpoint.php#L101", "https://plugins.trac.wordpress.org/browser/wpdm-premium-packages/tags/7.2.8/src/Api/Endpoints/OrderEndpoint.php#L501", "https://plugins.trac.wordpress.org/browser/wpdm-premium-packages/tags/7.2.8/src/Order/OrderService.php#L700", "https://plugins.trac.wordpress.org/changeset/3747528/wpdm-premium-packages/trunk/src/Admin/Order/views/order-notes.php", "https://www.wordfence.com/threat-intel/vulnerabilities/id/20042ecf-a8fd-4b36-80d9-d338c8795433?source=cve", "https://www.first.org/cvss/v3.1/specification-document" ] } ], "versionChecks": [ { "text": "WordPressの管理画面にログインし、「プラグイン」→「インストール済みプラグイン」を開きます。「Premium Packages – Sell Digital Products Securely」と同じ製品名・開発元の項目を探し、表示されているバージョンを控えてください。停止中のプラグインも一覧に含めて確認します。", "kind": "procedure", "sourceUrls": [ "https://wordpress.org/documentation/article/plugins-screen/" ] }, { "text": "管理画面に入れない、または同じ名前の製品を判別できない場合は、下の問い合わせ文をサイトの制作会社・管理担当者に送ってください。名前が見つからないという理由だけで、安全とは判定しないでください。", "kind": "procedure", "sourceUrls": [ "https://wordpress.org/documentation/article/site-health-screen/", "https://wordpress.org/documentation/article/plugins-screen/" ] } ], "actions": [ { "text": "「CVE-2026-110664」と現在の版を管理担当者・提供元へ伝え、この問題に対応した修正版が提供されているか確認します。下の問い合わせ文に記入すれば、そのまま依頼できます。対象範囲の上限から修正版の番号を推測しないでください。", "kind": "procedure", "sourceUrls": [ "https://nvd.nist.gov/vuln/detail/CVE-2026-110664", "https://plugins.trac.wordpress.org/browser/wpdm-premium-packages/", "https://plugins.trac.wordpress.org/browser/wpdm-premium-packages/tags/7.2.8/src/Admin/Order/views/order-notes.php#L28", "https://plugins.trac.wordpress.org/browser/wpdm-premium-packages/tags/7.2.8/src/Api/Endpoints/OrderEndpoint.php#L101", "https://plugins.trac.wordpress.org/browser/wpdm-premium-packages/tags/7.2.8/src/Api/Endpoints/OrderEndpoint.php#L501", "https://plugins.trac.wordpress.org/browser/wpdm-premium-packages/tags/7.2.8/src/Order/OrderService.php#L700", "https://plugins.trac.wordpress.org/changeset/3747528/wpdm-premium-packages/trunk/src/Admin/Order/views/order-notes.php", "https://www.wordfence.com/threat-intel/vulnerabilities/id/20042ecf-a8fd-4b36-80d9-d338c8795433?source=cve" ] }, { "text": "ファイルとデータベースのバックアップを取り、管理画面の「ダッシュボード」→「更新」で該当プラグインの更新を実行します。更新が表示されない有料製品などは、購入先・開発元の正規の配布経路を利用してください。", "kind": "procedure", "sourceUrls": [ "https://wordpress.org/documentation/article/updating-wordpress/", "https://wordpress.org/documentation/article/dashboard-updates-screen/", "https://wordpress.org/documentation/article/manage-plugins/" ] } ], "temporaryMitigations": [ { "text": "更新できない場合は、対象機能の停止や公開範囲の制限が使えるかを管理担当者と検討し、実施内容と更新予定日を記録してください。プラグインの「無効化」だけでこの脆弱性を防げるかは個別に確認が必要です。", "kind": "procedure", "sourceUrls": [ "https://wordpress.org/documentation/article/plugins-screen/", "https://nvd.nist.gov/vuln/detail/CVE-2026-110664", "https://plugins.trac.wordpress.org/browser/wpdm-premium-packages/", "https://plugins.trac.wordpress.org/browser/wpdm-premium-packages/tags/7.2.8/src/Admin/Order/views/order-notes.php#L28", "https://plugins.trac.wordpress.org/browser/wpdm-premium-packages/tags/7.2.8/src/Api/Endpoints/OrderEndpoint.php#L101", "https://plugins.trac.wordpress.org/browser/wpdm-premium-packages/tags/7.2.8/src/Api/Endpoints/OrderEndpoint.php#L501", "https://plugins.trac.wordpress.org/browser/wpdm-premium-packages/tags/7.2.8/src/Order/OrderService.php#L700", "https://plugins.trac.wordpress.org/changeset/3747528/wpdm-premium-packages/trunk/src/Admin/Order/views/order-notes.php", "https://www.wordfence.com/threat-intel/vulnerabilities/id/20042ecf-a8fd-4b36-80d9-d338c8795433?source=cve" ] } ], "verification": [ { "text": "更新後に同じ管理画面を開き直してバージョンを記録します。修正対象の系列・版と一致するかを照合し、サイト表示、ログイン、フォームや購入など普段使う主要な操作も確認してください。更新ボタンを押しただけでは完了としないでください。", "kind": "procedure", "sourceUrls": [ "https://wordpress.org/documentation/article/updating-wordpress/", "https://wordpress.org/documentation/article/dashboard-updates-screen/" ] } ], "unknowns": [ "取り込んだ公開データには、修正済みと明記されたバージョン番号がありません。「修正されていない」と確定したわけではありません。下の問い合わせ文で、修正版の番号・提供場所・適用予定を確認できます。" ], "supportRequest": "件名：CVE-2026-110664（Premium Packages – Sell Digital Products Securely）の影響と対応状況の確認\n\n利用中のサイト・機器・サービス：[記入してください]\n製品名・開発元：[記入してください]\n現在のバージョン・ビルド番号：[不明なら「不明」と記入]\n\nCVE-2026-110664について、次を教えてください。\n1. この環境は対象ですか。対象外の場合は、版・設定・機能などの判断理由を教えてください。\n2. 対象の場合、修正を含む版・パッケージ番号と、更新方法を教えてください。古い版に修正を取り込んでいる場合は、このCVEへの対応状況を教えてください。\n3. いつ対応できますか。再起動・停止時間・事前のバックアップや確認作業は必要ですか。\n4. すぐ更新できない場合、正式な回避策とその限界・副作用を教えてください。利用を続けてよい条件も知りたいです。\n5. 対応完了後、修正を確認できる版・設定・対応日時を連絡してください。\n\n確認している情報：https://zeijaku.ittrip.xyz/vulnerabilities/CVE-2026-110664", "sources": [ { "url": "https://nvd.nist.gov/vuln/detail/CVE-2026-110664", "label": "NVDの原文" }, { "url": "https://plugins.trac.wordpress.org/browser/wpdm-premium-packages/", "label": "security@wordfence.com" }, { "url": "https://plugins.trac.wordpress.org/browser/wpdm-premium-packages/tags/7.2.8/src/Admin/Order/views/order-notes.php#L28", "label": "security@wordfence.com" }, { "url": "https://plugins.trac.wordpress.org/browser/wpdm-premium-packages/tags/7.2.8/src/Api/Endpoints/OrderEndpoint.php#L101", "label": "security@wordfence.com" }, { "url": "https://plugins.trac.wordpress.org/browser/wpdm-premium-packages/tags/7.2.8/src/Api/Endpoints/OrderEndpoint.php#L501", "label": "security@wordfence.com" }, { "url": "https://plugins.trac.wordpress.org/browser/wpdm-premium-packages/tags/7.2.8/src/Order/OrderService.php#L700", "label": "security@wordfence.com" }, { "url": "https://plugins.trac.wordpress.org/changeset/3747528/wpdm-premium-packages/trunk/src/Admin/Order/views/order-notes.php", "label": "security@wordfence.com" }, { "url": "https://www.wordfence.com/threat-intel/vulnerabilities/id/20042ecf-a8fd-4b36-80d9-d338c8795433?source=cve", "label": "security@wordfence.com" }, { "url": "https://www.first.org/cvss/v3.1/specification-document", "label": "FIRST公式：CVSS 3.1の条件の定義" }, { "url": "https://wordpress.org/documentation/article/plugins-screen/", "label": "WordPress公式：プラグイン一覧" }, { "url": "https://wordpress.org/documentation/article/site-health-screen/", "label": "WordPress公式：サイトヘルスの情報" }, { "url": "https://wordpress.org/documentation/article/updating-wordpress/", "label": "WordPress公式：本体の更新" }, { "url": "https://wordpress.org/documentation/article/dashboard-updates-screen/", "label": "WordPress公式：更新画面" }, { "url": "https://wordpress.org/documentation/article/manage-plugins/", "label": "WordPress公式：プラグインの確認と更新" } ] } }, { "id": "CVE-2026-110290", "aliases": [], "title": "WebberZone Top 10 — Popular Posts：ブラウザー上での不正な処理", "summary": "WebberZone Top 10 — Popular Postsを使っている方が確認する情報です。公表文は「ブラウザー上での不正な処理」に関する問題を示しています。公開された対象範囲を下に日本語で示しています。", "risk": "攻撃者が用意した内容を表示した利用者のブラウザーで、不正なプログラムが動くおそれがあります。表示の書き換えや、利用者の権限を悪用する操作につながり得ます。", "product": "WebberZone Top 10 — Popular Posts", "category": "wordpress", "component": "plugin", "severity": "medium", "cvss": 6.4, "cvssVersion": "3.1", "cvssSource": "security@wordfence.com", "cvssVector": "CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:N", "affected": [ { "product": "WebberZone Top 10 — Popular Posts", "range": "<= 4.5.2" } ], "fixed": [], "steps": [ "「CVE-2026-110290」と現在の版を管理担当者・提供元へ伝え、この問題に対応した修正版が提供されているか確認します。下の問い合わせ文に記入すれば、そのまま依頼できます。対象範囲の上限から修正版の番号を推測しないでください。", "ファイルとデータベースのバックアップを取り、管理画面の「ダッシュボード」→「更新」で該当プラグインの更新を実行します。更新が表示されない有料製品などは、購入先・開発元の正規の配布経路を利用してください。" ], "references": [ { "url": "https://nvd.nist.gov/vuln/detail/CVE-2026-110290", "label": "NVDの原文" }, { "url": "https://plugins.trac.wordpress.org/browser/top-10/tags/4.5.2/includes/frontend/blocks/class-blocks.php#L128", "label": "security@wordfence.com" }, { "url": "https://plugins.trac.wordpress.org/browser/top-10/tags/4.5.2/includes/frontend/blocks/class-blocks.php#L142", "label": "security@wordfence.com" }, { "url": "https://plugins.trac.wordpress.org/browser/top-10/tags/4.5.2/includes/frontend/class-display.php#L153", "label": "security@wordfence.com" }, { "url": "https://plugins.trac.wordpress.org/browser/top-10/tags/4.5.2/includes/frontend/class-display.php#L170", "label": "security@wordfence.com" }, { "url": "https://plugins.trac.wordpress.org/browser/top-10/tags/4.5.2/includes/util/class-helpers.php#L693", "label": "security@wordfence.com" }, { "url": "https://plugins.trac.wordpress.org/browser/top-10/tags/4.5.3/includes/frontend/class-display.php", "label": "security@wordfence.com" }, { "url": "https://plugins.trac.wordpress.org/changeset/3747022", "label": "security@wordfence.com" }, { "url": "https://www.wordfence.com/threat-intel/vulnerabilities/id/4db4a201-a7fa-4764-87cb-c54b64adf560?source=cve", "label": "security@wordfence.com" }, { "url": "https://www.first.org/cvss/v3.1/specification-document", "label": "FIRST公式：CVSS 3.1の条件の定義" }, { "url": "https://wordpress.org/documentation/article/plugins-screen/", "label": "WordPress公式：プラグイン一覧" }, { "url": "https://wordpress.org/documentation/article/site-health-screen/", "label": "WordPress公式：サイトヘルスの情報" }, { "url": "https://wordpress.org/documentation/article/updating-wordpress/", "label": "WordPress公式：本体の更新" }, { "url": "https://wordpress.org/documentation/article/dashboard-updates-screen/", "label": "WordPress公式：更新画面" }, { "url": "https://wordpress.org/documentation/article/manage-plugins/", "label": "WordPress公式：プラグインの確認と更新" } ], "publishedAt": "2026-10-16T07:17:11.183Z", "modifiedAt": "2026-10-16T15:17:10.957Z", "fetchedAt": "2026-10-22T22:09:30.689Z", "exploitStatus": "unknown", "sources": [ "NVD" ], "originalText": "The WebberZone Top 10 — Popular Posts plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the 'other_attributes (parsed to inject instance_id) + undeclared is_widget' parameter in all versions up to, and including, 4.5.2 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with contributor-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. The exploit requires setting the undeclared is_widget flag to '1' via block JSON, which activates the vulnerable code path that concatenates the attacker-controlled instance_id value into an unescaped HTML class attribute.", "sourceTitle": "CVE-2026-110290", "summaryMethod": "公開データの対象範囲・CVSS条件を日本語化し、製品ごとの一般的な操作手順を補足しています。個別の全文翻訳・環境診断ではありません。", "state": "published", "affectedDetails": [ { "vendor": "ajay", "product": "WebberZone Top 10 — Popular Posts", "defaultStatus": "unaffected", "versions": [ { "version": "0", "lessThanOrEqual": "4.5.2", "versionType": "semver", "status": "affected" } ] } ], "sourceSnapshots": [ { "source": "NVD", "modifiedAt": "2026-10-16T15:17:10.957Z", "fetchedAt": "2026-10-22T22:09:30.689Z", "state": "published" } ], "sourceSummary": "WebberZone Top 10 — Popular Postsにブラウザー上での不正な処理に関する脆弱性情報があります。影響を受ける条件を確認してください。", "sourceRisk": "利用者のブラウザー上で不正なスクリプトが動く可能性があります。成立条件は原文を確認してください。", "guidance": { "schemaVersion": "1.0", "method": "structured", "reviewedAt": null, "reviewState": "unreviewed", "summary": "WebberZone Top 10 — Popular Postsを使っている方が確認する情報です。公表文は「ブラウザー上での不正な処理」に関する問題を示しています。公開された対象範囲を下に日本語で示しています。", "risk": "攻撃者が用意した内容を表示した利用者のブラウザーで、不正なプログラムが動くおそれがあります。表示の書き換えや、利用者の権限を悪用する操作につながり得ます。", "applicability": [ { "text": "最初に「WebberZone Top 10 — Popular Posts」を使っているか、開発元・製品名・バージョンを確認します。同じカテゴリの製品を使っているだけでは、この問題の対象とは限りません。", "kind": "check", "sourceUrls": [ "https://nvd.nist.gov/vuln/detail/CVE-2026-110290", "https://plugins.trac.wordpress.org/browser/top-10/tags/4.5.2/includes/frontend/blocks/class-blocks.php#L128", "https://plugins.trac.wordpress.org/browser/top-10/tags/4.5.2/includes/frontend/blocks/class-blocks.php#L142", "https://plugins.trac.wordpress.org/browser/top-10/tags/4.5.2/includes/frontend/class-display.php#L153", "https://plugins.trac.wordpress.org/browser/top-10/tags/4.5.2/includes/frontend/class-display.php#L170", "https://plugins.trac.wordpress.org/browser/top-10/tags/4.5.2/includes/util/class-helpers.php#L693", "https://plugins.trac.wordpress.org/browser/top-10/tags/4.5.3/includes/frontend/class-display.php", "https://plugins.trac.wordpress.org/changeset/3747022", "https://www.wordfence.com/threat-intel/vulnerabilities/id/4db4a201-a7fa-4764-87cb-c54b64adf560?source=cve" ] }, { "text": "公開データの対象範囲：WebberZone Top 10 — Popular Posts — 4.5.2以下。この範囲に加え、下に記載する権限・構成などの条件も照合してください。", "kind": "fact", "sourceUrls": [ "https://nvd.nist.gov/vuln/detail/CVE-2026-110290", "https://plugins.trac.wordpress.org/browser/top-10/tags/4.5.2/includes/frontend/blocks/class-blocks.php#L128", "https://plugins.trac.wordpress.org/browser/top-10/tags/4.5.2/includes/frontend/blocks/class-blocks.php#L142", "https://plugins.trac.wordpress.org/browser/top-10/tags/4.5.2/includes/frontend/class-display.php#L153", "https://plugins.trac.wordpress.org/browser/top-10/tags/4.5.2/includes/frontend/class-display.php#L170", "https://plugins.trac.wordpress.org/browser/top-10/tags/4.5.2/includes/util/class-helpers.php#L693", "https://plugins.trac.wordpress.org/browser/top-10/tags/4.5.3/includes/frontend/class-display.php", "https://plugins.trac.wordpress.org/changeset/3747022", "https://www.wordfence.com/threat-intel/vulnerabilities/id/4db4a201-a7fa-4764-87cb-c54b64adf560?source=cve" ] }, { "text": "公表されたCVSS評価では、攻撃者は事前に一般利用者程度の権限を持つ必要があります。WordPressの「購読者」「投稿者」などの具体的な役割は、この値だけでは分かりません。", "kind": "fact", "sourceUrls": [ "https://nvd.nist.gov/vuln/detail/CVE-2026-110290", "https://plugins.trac.wordpress.org/browser/top-10/tags/4.5.2/includes/frontend/blocks/class-blocks.php#L128", "https://plugins.trac.wordpress.org/browser/top-10/tags/4.5.2/includes/frontend/blocks/class-blocks.php#L142", "https://plugins.trac.wordpress.org/browser/top-10/tags/4.5.2/includes/frontend/class-display.php#L153", "https://plugins.trac.wordpress.org/browser/top-10/tags/4.5.2/includes/frontend/class-display.php#L170", "https://plugins.trac.wordpress.org/browser/top-10/tags/4.5.2/includes/util/class-helpers.php#L693", "https://plugins.trac.wordpress.org/browser/top-10/tags/4.5.3/includes/frontend/class-display.php", "https://plugins.trac.wordpress.org/changeset/3747022", "https://www.wordfence.com/threat-intel/vulnerabilities/id/4db4a201-a7fa-4764-87cb-c54b64adf560?source=cve", "https://www.first.org/cvss/v3.1/specification-document" ] }, { "text": "公表されたCVSS評価では、ネットワーク越しに攻撃が届く経路があります。あなたの環境がインターネットから到達可能かどうかは、公開設定を別に確認する必要があります。", "kind": "fact", "sourceUrls": [ "https://nvd.nist.gov/vuln/detail/CVE-2026-110290", "https://plugins.trac.wordpress.org/browser/top-10/tags/4.5.2/includes/frontend/blocks/class-blocks.php#L128", "https://plugins.trac.wordpress.org/browser/top-10/tags/4.5.2/includes/frontend/blocks/class-blocks.php#L142", "https://plugins.trac.wordpress.org/browser/top-10/tags/4.5.2/includes/frontend/class-display.php#L153", "https://plugins.trac.wordpress.org/browser/top-10/tags/4.5.2/includes/frontend/class-display.php#L170", "https://plugins.trac.wordpress.org/browser/top-10/tags/4.5.2/includes/util/class-helpers.php#L693", "https://plugins.trac.wordpress.org/browser/top-10/tags/4.5.3/includes/frontend/class-display.php", "https://plugins.trac.wordpress.org/changeset/3747022", "https://www.wordfence.com/threat-intel/vulnerabilities/id/4db4a201-a7fa-4764-87cb-c54b64adf560?source=cve", "https://www.first.org/cvss/v3.1/specification-document" ] }, { "text": "公表されたCVSS評価では、攻撃者以外の利用者がリンクを開くなどの操作をしなくても、攻撃が成立し得ます。", "kind": "fact", "sourceUrls": [ "https://nvd.nist.gov/vuln/detail/CVE-2026-110290", "https://plugins.trac.wordpress.org/browser/top-10/tags/4.5.2/includes/frontend/blocks/class-blocks.php#L128", "https://plugins.trac.wordpress.org/browser/top-10/tags/4.5.2/includes/frontend/blocks/class-blocks.php#L142", "https://plugins.trac.wordpress.org/browser/top-10/tags/4.5.2/includes/frontend/class-display.php#L153", "https://plugins.trac.wordpress.org/browser/top-10/tags/4.5.2/includes/frontend/class-display.php#L170", "https://plugins.trac.wordpress.org/browser/top-10/tags/4.5.2/includes/util/class-helpers.php#L693", "https://plugins.trac.wordpress.org/browser/top-10/tags/4.5.3/includes/frontend/class-display.php", "https://plugins.trac.wordpress.org/changeset/3747022", "https://www.wordfence.com/threat-intel/vulnerabilities/id/4db4a201-a7fa-4764-87cb-c54b64adf560?source=cve", "https://www.first.org/cvss/v3.1/specification-document" ] } ], "versionChecks": [ { "text": "WordPressの管理画面にログインし、「プラグイン」→「インストール済みプラグイン」を開きます。「WebberZone Top 10 — Popular Posts」と同じ製品名・開発元の項目を探し、表示されているバージョンを控えてください。停止中のプラグインも一覧に含めて確認します。", "kind": "procedure", "sourceUrls": [ "https://wordpress.org/documentation/article/plugins-screen/" ] }, { "text": "管理画面に入れない、または同じ名前の製品を判別できない場合は、下の問い合わせ文をサイトの制作会社・管理担当者に送ってください。名前が見つからないという理由だけで、安全とは判定しないでください。", "kind": "procedure", "sourceUrls": [ "https://wordpress.org/documentation/article/site-health-screen/", "https://wordpress.org/documentation/article/plugins-screen/" ] } ], "actions": [ { "text": "「CVE-2026-110290」と現在の版を管理担当者・提供元へ伝え、この問題に対応した修正版が提供されているか確認します。下の問い合わせ文に記入すれば、そのまま依頼できます。対象範囲の上限から修正版の番号を推測しないでください。", "kind": "procedure", "sourceUrls": [ "https://nvd.nist.gov/vuln/detail/CVE-2026-110290", "https://plugins.trac.wordpress.org/browser/top-10/tags/4.5.2/includes/frontend/blocks/class-blocks.php#L128", "https://plugins.trac.wordpress.org/browser/top-10/tags/4.5.2/includes/frontend/blocks/class-blocks.php#L142", "https://plugins.trac.wordpress.org/browser/top-10/tags/4.5.2/includes/frontend/class-display.php#L153", "https://plugins.trac.wordpress.org/browser/top-10/tags/4.5.2/includes/frontend/class-display.php#L170", "https://plugins.trac.wordpress.org/browser/top-10/tags/4.5.2/includes/util/class-helpers.php#L693", "https://plugins.trac.wordpress.org/browser/top-10/tags/4.5.3/includes/frontend/class-display.php", "https://plugins.trac.wordpress.org/changeset/3747022", "https://www.wordfence.com/threat-intel/vulnerabilities/id/4db4a201-a7fa-4764-87cb-c54b64adf560?source=cve" ] }, { "text": "ファイルとデータベースのバックアップを取り、管理画面の「ダッシュボード」→「更新」で該当プラグインの更新を実行します。更新が表示されない有料製品などは、購入先・開発元の正規の配布経路を利用してください。", "kind": "procedure", "sourceUrls": [ "https://wordpress.org/documentation/article/updating-wordpress/", "https://wordpress.org/documentation/article/dashboard-updates-screen/", "https://wordpress.org/documentation/article/manage-plugins/" ] } ], "temporaryMitigations": [ { "text": "更新できない場合は、対象機能の停止や公開範囲の制限が使えるかを管理担当者と検討し、実施内容と更新予定日を記録してください。プラグインの「無効化」だけでこの脆弱性を防げるかは個別に確認が必要です。", "kind": "procedure", "sourceUrls": [ "https://wordpress.org/documentation/article/plugins-screen/", "https://nvd.nist.gov/vuln/detail/CVE-2026-110290", "https://plugins.trac.wordpress.org/browser/top-10/tags/4.5.2/includes/frontend/blocks/class-blocks.php#L128", "https://plugins.trac.wordpress.org/browser/top-10/tags/4.5.2/includes/frontend/blocks/class-blocks.php#L142", "https://plugins.trac.wordpress.org/browser/top-10/tags/4.5.2/includes/frontend/class-display.php#L153", "https://plugins.trac.wordpress.org/browser/top-10/tags/4.5.2/includes/frontend/class-display.php#L170", "https://plugins.trac.wordpress.org/browser/top-10/tags/4.5.2/includes/util/class-helpers.php#L693", "https://plugins.trac.wordpress.org/browser/top-10/tags/4.5.3/includes/frontend/class-display.php", "https://plugins.trac.wordpress.org/changeset/3747022", "https://www.wordfence.com/threat-intel/vulnerabilities/id/4db4a201-a7fa-4764-87cb-c54b64adf560?source=cve" ] } ], "verification": [ { "text": "更新後に同じ管理画面を開き直してバージョンを記録します。修正対象の系列・版と一致するかを照合し、サイト表示、ログイン、フォームや購入など普段使う主要な操作も確認してください。更新ボタンを押しただけでは完了としないでください。", "kind": "procedure", "sourceUrls": [ "https://wordpress.org/documentation/article/updating-wordpress/", "https://wordpress.org/documentation/article/dashboard-updates-screen/" ] } ], "unknowns": [ "取り込んだ公開データには、修正済みと明記されたバージョン番号がありません。「修正されていない」と確定したわけではありません。下の問い合わせ文で、修正版の番号・提供場所・適用予定を確認できます。" ], "supportRequest": "件名：CVE-2026-110290（WebberZone Top 10 — Popular Posts）の影響と対応状況の確認\n\n利用中のサイト・機器・サービス：[記入してください]\n製品名・開発元：[記入してください]\n現在のバージョン・ビルド番号：[不明なら「不明」と記入]\n\nCVE-2026-110290について、次を教えてください。\n1. この環境は対象ですか。対象外の場合は、版・設定・機能などの判断理由を教えてください。\n2. 対象の場合、修正を含む版・パッケージ番号と、更新方法を教えてください。古い版に修正を取り込んでいる場合は、このCVEへの対応状況を教えてください。\n3. いつ対応できますか。再起動・停止時間・事前のバックアップや確認作業は必要ですか。\n4. すぐ更新できない場合、正式な回避策とその限界・副作用を教えてください。利用を続けてよい条件も知りたいです。\n5. 対応完了後、修正を確認できる版・設定・対応日時を連絡してください。\n\n確認している情報：https://zeijaku.ittrip.xyz/vulnerabilities/CVE-2026-110290", "sources": [ { "url": "https://nvd.nist.gov/vuln/detail/CVE-2026-110290", "label": "NVDの原文" }, { "url": "https://plugins.trac.wordpress.org/browser/top-10/tags/4.5.2/includes/frontend/blocks/class-blocks.php#L128", "label": "security@wordfence.com" }, { "url": "https://plugins.trac.wordpress.org/browser/top-10/tags/4.5.2/includes/frontend/blocks/class-blocks.php#L142", "label": "security@wordfence.com" }, { "url": "https://plugins.trac.wordpress.org/browser/top-10/tags/4.5.2/includes/frontend/class-display.php#L153", "label": "security@wordfence.com" }, { "url": "https://plugins.trac.wordpress.org/browser/top-10/tags/4.5.2/includes/frontend/class-display.php#L170", "label": "security@wordfence.com" }, { "url": "https://plugins.trac.wordpress.org/browser/top-10/tags/4.5.2/includes/util/class-helpers.php#L693", "label": "security@wordfence.com" }, { "url": "https://plugins.trac.wordpress.org/browser/top-10/tags/4.5.3/includes/frontend/class-display.php", "label": "security@wordfence.com" }, { "url": "https://plugins.trac.wordpress.org/changeset/3747022", "label": "security@wordfence.com" }, { "url": "https://www.wordfence.com/threat-intel/vulnerabilities/id/4db4a201-a7fa-4764-87cb-c54b64adf560?source=cve", "label": "security@wordfence.com" }, { "url": "https://www.first.org/cvss/v3.1/specification-document", "label": "FIRST公式：CVSS 3.1の条件の定義" }, { "url": "https://wordpress.org/documentation/article/plugins-screen/", "label": "WordPress公式：プラグイン一覧" }, { "url": "https://wordpress.org/documentation/article/site-health-screen/", "label": "WordPress公式：サイトヘルスの情報" }, { "url": "https://wordpress.org/documentation/article/updating-wordpress/", "label": "WordPress公式：本体の更新" }, { "url": "https://wordpress.org/documentation/article/dashboard-updates-screen/", "label": "WordPress公式：更新画面" }, { "url": "https://wordpress.org/documentation/article/manage-plugins/", "label": "WordPress公式：プラグインの確認と更新" } ] } }, { "id": "CVE-2026-110252", "aliases": [], "title": "WPeMatico RSS Feed Fetcher：ブラウザー上での不正な処理", "summary": "WPeMatico RSS Feed Fetcherを使っている方が確認する情報です。公表文は「ブラウザー上での不正な処理」に関する問題を示しています。公開された対象範囲を下に日本語で示しています。", "risk": "攻撃者が用意した内容を表示した利用者のブラウザーで、不正なプログラムが動くおそれがあります。表示の書き換えや、利用者の権限を悪用する操作につながり得ます。", "product": "WPeMatico RSS Feed Fetcher", "category": "wordpress", "component": "plugin", "severity": "medium", "cvss": 5.4, "cvssVersion": "3.1", "cvssSource": "security@wordfence.com", "cvssVector": "CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:C/C:L/I:L/A:N", "affected": [ { "product": "WPeMatico RSS Feed Fetcher", "range": "<= 2.9" } ], "fixed": [], "steps": [ "「CVE-2026-110252」と現在の版を管理担当者・提供元へ伝え、この問題に対応した修正版が提供されているか確認します。下の問い合わせ文に記入すれば、そのまま依頼できます。対象範囲の上限から修正版の番号を推測しないでください。", "ファイルとデータベースのバックアップを取り、管理画面の「ダッシュボード」→「更新」で該当プラグインの更新を実行します。更新が表示されない有料製品などは、購入先・開発元の正規の配布経路を利用してください。" ], "references": [ { "url": "https://nvd.nist.gov/vuln/detail/CVE-2026-110252", "label": "NVDの原文" }, { "url": "https://github.com/etruel/wpematico/commit/44c4894a0ad92a711c534ad4d822c0b5d7c3dffe", "label": "security@wordfence.com" }, { "url": "https://plugins.trac.wordpress.org/browser/wpematico/tags/2.9/includes/campaign_fetch.php#L400", "label": "security@wordfence.com" }, { "url": "https://plugins.trac.wordpress.org/browser/wpematico/tags/2.9/includes/campaign_fetch.php#L773", "label": "security@wordfence.com" }, { "url": "https://plugins.trac.wordpress.org/browser/wpematico/tags/2.9/includes/campaign_fetch.php#L777", "label": "security@wordfence.com" }, { "url": "https://plugins.trac.wordpress.org/browser/wpematico/tags/2.9/includes/wpematico_functions.php#L3226", "label": "security@wordfence.com" }, { "url": "https://plugins.trac.wordpress.org/browser/wpematico/tags/2.9/includes/wpematico_functions.php#L3326", "label": "security@wordfence.com" }, { "url": "https://plugins.trac.wordpress.org/changeset/3747465/wpematico/trunk/includes/campaign_fetch.php", "label": "security@wordfence.com" }, { "url": "https://www.wordfence.com/threat-intel/vulnerabilities/id/e87fc1bf-af05-4089-a164-8a2e73c68e8c?source=cve", "label": "security@wordfence.com" }, { "url": "https://www.first.org/cvss/v3.1/specification-document", "label": "FIRST公式：CVSS 3.1の条件の定義" }, { "url": "https://wordpress.org/documentation/article/plugins-screen/", "label": "WordPress公式：プラグイン一覧" }, { "url": "https://wordpress.org/documentation/article/site-health-screen/", "label": "WordPress公式：サイトヘルスの情報" }, { "url": "https://wordpress.org/documentation/article/updating-wordpress/", "label": "WordPress公式：本体の更新" }, { "url": "https://wordpress.org/documentation/article/dashboard-updates-screen/", "label": "WordPress公式：更新画面" }, { "url": "https://wordpress.org/documentation/article/manage-plugins/", "label": "WordPress公式：プラグインの確認と更新" } ], "publishedAt": "2026-10-16T07:17:11.030Z", "modifiedAt": "2026-10-16T15:17:10.490Z", "fetchedAt": "2026-10-22T22:09:30.689Z", "exploitStatus": "unknown", "sources": [ "NVD" ], "originalText": "The WPeMatico RSS Feed Fetcher plugin for WordPress is vulnerable to Stored Cross-Site Scripting in versions up to, and including, 2.9 This is due to the plugin removing WordPress's wp_filter_post_kses filter from content_save_pre immediately before calling wp_insert_post() with RSS feed content, whenever the campaign's last editor had the unfiltered_html capability — a flag the plugin sets automatically for every admin-saved campaign. Imported item content is taken raw from $item->get_content(), only entity-decoded, and stored verbatim in post_content. This makes it possible for unauthenticated attackers, who publish or compromise an RSS feed that an administrator has subscribed a WPeMatico campaign to, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected imported post.", "sourceTitle": "CVE-2026-110252", "summaryMethod": "公開データの対象範囲・CVSS条件を日本語化し、製品ごとの一般的な操作手順を補足しています。個別の全文翻訳・環境診断ではありません。", "state": "published", "affectedDetails": [ { "vendor": "etruel", "product": "WPeMatico RSS Feed Fetcher", "defaultStatus": "unaffected", "versions": [ { "version": "0", "lessThanOrEqual": "2.9", "versionType": "semver", "status": "affected" } ] } ], "sourceSnapshots": [ { "source": "NVD", "modifiedAt": "2026-10-16T15:17:10.490Z", "fetchedAt": "2026-10-22T22:09:30.689Z", "state": "published" } ], "sourceSummary": "WPeMatico RSS Feed Fetcherにブラウザー上での不正な処理に関する脆弱性情報があります。影響を受ける条件を確認してください。", "sourceRisk": "利用者のブラウザー上で不正なスクリプトが動く可能性があります。成立条件は原文を確認してください。", "guidance": { "schemaVersion": "1.0", "method": "structured", "reviewedAt": null, "reviewState": "unreviewed", "summary": "WPeMatico RSS Feed Fetcherを使っている方が確認する情報です。公表文は「ブラウザー上での不正な処理」に関する問題を示しています。公開された対象範囲を下に日本語で示しています。", "risk": "攻撃者が用意した内容を表示した利用者のブラウザーで、不正なプログラムが動くおそれがあります。表示の書き換えや、利用者の権限を悪用する操作につながり得ます。", "applicability": [ { "text": "最初に「WPeMatico RSS Feed Fetcher」を使っているか、開発元・製品名・バージョンを確認します。同じカテゴリの製品を使っているだけでは、この問題の対象とは限りません。", "kind": "check", "sourceUrls": [ "https://nvd.nist.gov/vuln/detail/CVE-2026-110252", "https://github.com/etruel/wpematico/commit/44c4894a0ad92a711c534ad4d822c0b5d7c3dffe", "https://plugins.trac.wordpress.org/browser/wpematico/tags/2.9/includes/campaign_fetch.php#L400", "https://plugins.trac.wordpress.org/browser/wpematico/tags/2.9/includes/campaign_fetch.php#L773", "https://plugins.trac.wordpress.org/browser/wpematico/tags/2.9/includes/campaign_fetch.php#L777", "https://plugins.trac.wordpress.org/browser/wpematico/tags/2.9/includes/wpematico_functions.php#L3226", "https://plugins.trac.wordpress.org/browser/wpematico/tags/2.9/includes/wpematico_functions.php#L3326", "https://plugins.trac.wordpress.org/changeset/3747465/wpematico/trunk/includes/campaign_fetch.php", "https://www.wordfence.com/threat-intel/vulnerabilities/id/e87fc1bf-af05-4089-a164-8a2e73c68e8c?source=cve" ] }, { "text": "公開データの対象範囲：WPeMatico RSS Feed Fetcher — 2.9以下。この範囲に加え、下に記載する権限・構成などの条件も照合してください。", "kind": "fact", "sourceUrls": [ "https://nvd.nist.gov/vuln/detail/CVE-2026-110252", "https://github.com/etruel/wpematico/commit/44c4894a0ad92a711c534ad4d822c0b5d7c3dffe", "https://plugins.trac.wordpress.org/browser/wpematico/tags/2.9/includes/campaign_fetch.php#L400", "https://plugins.trac.wordpress.org/browser/wpematico/tags/2.9/includes/campaign_fetch.php#L773", "https://plugins.trac.wordpress.org/browser/wpematico/tags/2.9/includes/campaign_fetch.php#L777", "https://plugins.trac.wordpress.org/browser/wpematico/tags/2.9/includes/wpematico_functions.php#L3226", "https://plugins.trac.wordpress.org/browser/wpematico/tags/2.9/includes/wpematico_functions.php#L3326", "https://plugins.trac.wordpress.org/changeset/3747465/wpematico/trunk/includes/campaign_fetch.php", "https://www.wordfence.com/threat-intel/vulnerabilities/id/e87fc1bf-af05-4089-a164-8a2e73c68e8c?source=cve" ] }, { "text": "公表されたCVSS評価では、攻撃前に対象システムの権限を持っている必要はありません。他の構成・機能の条件まで不要という意味ではありません。", "kind": "fact", "sourceUrls": [ "https://nvd.nist.gov/vuln/detail/CVE-2026-110252", "https://github.com/etruel/wpematico/commit/44c4894a0ad92a711c534ad4d822c0b5d7c3dffe", "https://plugins.trac.wordpress.org/browser/wpematico/tags/2.9/includes/campaign_fetch.php#L400", "https://plugins.trac.wordpress.org/browser/wpematico/tags/2.9/includes/campaign_fetch.php#L773", "https://plugins.trac.wordpress.org/browser/wpematico/tags/2.9/includes/campaign_fetch.php#L777", "https://plugins.trac.wordpress.org/browser/wpematico/tags/2.9/includes/wpematico_functions.php#L3226", "https://plugins.trac.wordpress.org/browser/wpematico/tags/2.9/includes/wpematico_functions.php#L3326", "https://plugins.trac.wordpress.org/changeset/3747465/wpematico/trunk/includes/campaign_fetch.php", "https://www.wordfence.com/threat-intel/vulnerabilities/id/e87fc1bf-af05-4089-a164-8a2e73c68e8c?source=cve", "https://www.first.org/cvss/v3.1/specification-document" ] }, { "text": "公表されたCVSS評価では、ネットワーク越しに攻撃が届く経路があります。あなたの環境がインターネットから到達可能かどうかは、公開設定を別に確認する必要があります。", "kind": "fact", "sourceUrls": [ "https://nvd.nist.gov/vuln/detail/CVE-2026-110252", "https://github.com/etruel/wpematico/commit/44c4894a0ad92a711c534ad4d822c0b5d7c3dffe", "https://plugins.trac.wordpress.org/browser/wpematico/tags/2.9/includes/campaign_fetch.php#L400", "https://plugins.trac.wordpress.org/browser/wpematico/tags/2.9/includes/campaign_fetch.php#L773", "https://plugins.trac.wordpress.org/browser/wpematico/tags/2.9/includes/campaign_fetch.php#L777", "https://plugins.trac.wordpress.org/browser/wpematico/tags/2.9/includes/wpematico_functions.php#L3226", "https://plugins.trac.wordpress.org/browser/wpematico/tags/2.9/includes/wpematico_functions.php#L3326", "https://plugins.trac.wordpress.org/changeset/3747465/wpematico/trunk/includes/campaign_fetch.php", "https://www.wordfence.com/threat-intel/vulnerabilities/id/e87fc1bf-af05-4089-a164-8a2e73c68e8c?source=cve", "https://www.first.org/cvss/v3.1/specification-document" ] }, { "text": "公表されたCVSS評価では、攻撃者以外の利用者がリンクを開くなどの操作をしなくても、攻撃が成立し得ます。", "kind": "fact", "sourceUrls": [ "https://nvd.nist.gov/vuln/detail/CVE-2026-110252", "https://github.com/etruel/wpematico/commit/44c4894a0ad92a711c534ad4d822c0b5d7c3dffe", "https://plugins.trac.wordpress.org/browser/wpematico/tags/2.9/includes/campaign_fetch.php#L400", "https://plugins.trac.wordpress.org/browser/wpematico/tags/2.9/includes/campaign_fetch.php#L773", "https://plugins.trac.wordpress.org/browser/wpematico/tags/2.9/includes/campaign_fetch.php#L777", "https://plugins.trac.wordpress.org/browser/wpematico/tags/2.9/includes/wpematico_functions.php#L3226", "https://plugins.trac.wordpress.org/browser/wpematico/tags/2.9/includes/wpematico_functions.php#L3326", "https://plugins.trac.wordpress.org/changeset/3747465/wpematico/trunk/includes/campaign_fetch.php", "https://www.wordfence.com/threat-intel/vulnerabilities/id/e87fc1bf-af05-4089-a164-8a2e73c68e8c?source=cve", "https://www.first.org/cvss/v3.1/specification-document" ] } ], "versionChecks": [ { "text": "WordPressの管理画面にログインし、「プラグイン」→「インストール済みプラグイン」を開きます。「WPeMatico RSS Feed Fetcher」と同じ製品名・開発元の項目を探し、表示されているバージョンを控えてください。停止中のプラグインも一覧に含めて確認します。", "kind": "procedure", "sourceUrls": [ "https://wordpress.org/documentation/article/plugins-screen/" ] }, { "text": "管理画面に入れない、または同じ名前の製品を判別できない場合は、下の問い合わせ文をサイトの制作会社・管理担当者に送ってください。名前が見つからないという理由だけで、安全とは判定しないでください。", "kind": "procedure", "sourceUrls": [ "https://wordpress.org/documentation/article/site-health-screen/", "https://wordpress.org/documentation/article/plugins-screen/" ] } ], "actions": [ { "text": "「CVE-2026-110252」と現在の版を管理担当者・提供元へ伝え、この問題に対応した修正版が提供されているか確認します。下の問い合わせ文に記入すれば、そのまま依頼できます。対象範囲の上限から修正版の番号を推測しないでください。", "kind": "procedure", "sourceUrls": [ "https://nvd.nist.gov/vuln/detail/CVE-2026-110252", "https://github.com/etruel/wpematico/commit/44c4894a0ad92a711c534ad4d822c0b5d7c3dffe", "https://plugins.trac.wordpress.org/browser/wpematico/tags/2.9/includes/campaign_fetch.php#L400", "https://plugins.trac.wordpress.org/browser/wpematico/tags/2.9/includes/campaign_fetch.php#L773", "https://plugins.trac.wordpress.org/browser/wpematico/tags/2.9/includes/campaign_fetch.php#L777", "https://plugins.trac.wordpress.org/browser/wpematico/tags/2.9/includes/wpematico_functions.php#L3226", "https://plugins.trac.wordpress.org/browser/wpematico/tags/2.9/includes/wpematico_functions.php#L3326", "https://plugins.trac.wordpress.org/changeset/3747465/wpematico/trunk/includes/campaign_fetch.php", "https://www.wordfence.com/threat-intel/vulnerabilities/id/e87fc1bf-af05-4089-a164-8a2e73c68e8c?source=cve" ] }, { "text": "ファイルとデータベースのバックアップを取り、管理画面の「ダッシュボード」→「更新」で該当プラグインの更新を実行します。更新が表示されない有料製品などは、購入先・開発元の正規の配布経路を利用してください。", "kind": "procedure", "sourceUrls": [ "https://wordpress.org/documentation/article/updating-wordpress/", "https://wordpress.org/documentation/article/dashboard-updates-screen/", "https://wordpress.org/documentation/article/manage-plugins/" ] } ], "temporaryMitigations": [ { "text": "更新できない場合は、対象機能の停止や公開範囲の制限が使えるかを管理担当者と検討し、実施内容と更新予定日を記録してください。プラグインの「無効化」だけでこの脆弱性を防げるかは個別に確認が必要です。", "kind": "procedure", "sourceUrls": [ "https://wordpress.org/documentation/article/plugins-screen/", "https://nvd.nist.gov/vuln/detail/CVE-2026-110252", "https://github.com/etruel/wpematico/commit/44c4894a0ad92a711c534ad4d822c0b5d7c3dffe", "https://plugins.trac.wordpress.org/browser/wpematico/tags/2.9/includes/campaign_fetch.php#L400", "https://plugins.trac.wordpress.org/browser/wpematico/tags/2.9/includes/campaign_fetch.php#L773", "https://plugins.trac.wordpress.org/browser/wpematico/tags/2.9/includes/campaign_fetch.php#L777", "https://plugins.trac.wordpress.org/browser/wpematico/tags/2.9/includes/wpematico_functions.php#L3226", "https://plugins.trac.wordpress.org/browser/wpematico/tags/2.9/includes/wpematico_functions.php#L3326", "https://plugins.trac.wordpress.org/changeset/3747465/wpematico/trunk/includes/campaign_fetch.php", "https://www.wordfence.com/threat-intel/vulnerabilities/id/e87fc1bf-af05-4089-a164-8a2e73c68e8c?source=cve" ] } ], "verification": [ { "text": "更新後に同じ管理画面を開き直してバージョンを記録します。修正対象の系列・版と一致するかを照合し、サイト表示、ログイン、フォームや購入など普段使う主要な操作も確認してください。更新ボタンを押しただけでは完了としないでください。", "kind": "procedure", "sourceUrls": [ "https://wordpress.org/documentation/article/updating-wordpress/", "https://wordpress.org/documentation/article/dashboard-updates-screen/" ] } ], "unknowns": [ "取り込んだ公開データには、修正済みと明記されたバージョン番号がありません。「修正されていない」と確定したわけではありません。下の問い合わせ文で、修正版の番号・提供場所・適用予定を確認できます。" ], "supportRequest": "件名：CVE-2026-110252（WPeMatico RSS Feed Fetcher）の影響と対応状況の確認\n\n利用中のサイト・機器・サービス：[記入してください]\n製品名・開発元：[記入してください]\n現在のバージョン・ビルド番号：[不明なら「不明」と記入]\n\nCVE-2026-110252について、次を教えてください。\n1. この環境は対象ですか。対象外の場合は、版・設定・機能などの判断理由を教えてください。\n2. 対象の場合、修正を含む版・パッケージ番号と、更新方法を教えてください。古い版に修正を取り込んでいる場合は、このCVEへの対応状況を教えてください。\n3. いつ対応できますか。再起動・停止時間・事前のバックアップや確認作業は必要ですか。\n4. すぐ更新できない場合、正式な回避策とその限界・副作用を教えてください。利用を続けてよい条件も知りたいです。\n5. 対応完了後、修正を確認できる版・設定・対応日時を連絡してください。\n\n確認している情報：https://zeijaku.ittrip.xyz/vulnerabilities/CVE-2026-110252", "sources": [ { "url": "https://nvd.nist.gov/vuln/detail/CVE-2026-110252", "label": "NVDの原文" }, { "url": "https://github.com/etruel/wpematico/commit/44c4894a0ad92a711c534ad4d822c0b5d7c3dffe", "label": "security@wordfence.com" }, { "url": "https://plugins.trac.wordpress.org/browser/wpematico/tags/2.9/includes/campaign_fetch.php#L400", "label": "security@wordfence.com" }, { "url": "https://plugins.trac.wordpress.org/browser/wpematico/tags/2.9/includes/campaign_fetch.php#L773", "label": "security@wordfence.com" }, { "url": "https://plugins.trac.wordpress.org/browser/wpematico/tags/2.9/includes/campaign_fetch.php#L777", "label": "security@wordfence.com" }, { "url": "https://plugins.trac.wordpress.org/browser/wpematico/tags/2.9/includes/wpematico_functions.php#L3226", "label": "security@wordfence.com" }, { "url": "https://plugins.trac.wordpress.org/browser/wpematico/tags/2.9/includes/wpematico_functions.php#L3326", "label": "security@wordfence.com" }, { "url": "https://plugins.trac.wordpress.org/changeset/3747465/wpematico/trunk/includes/campaign_fetch.php", "label": "security@wordfence.com" }, { "url": "https://www.wordfence.com/threat-intel/vulnerabilities/id/e87fc1bf-af05-4089-a164-8a2e73c68e8c?source=cve", "label": "security@wordfence.com" }, { "url": "https://www.first.org/cvss/v3.1/specification-document", "label": "FIRST公式：CVSS 3.1の条件の定義" }, { "url": "https://wordpress.org/documentation/article/plugins-screen/", "label": "WordPress公式：プラグイン一覧" }, { "url": "https://wordpress.org/documentation/article/site-health-screen/", "label": "WordPress公式：サイトヘルスの情報" }, { "url": "https://wordpress.org/documentation/article/updating-wordpress/", "label": "WordPress公式：本体の更新" }, { "url": "https://wordpress.org/documentation/article/dashboard-updates-screen/", "label": "WordPress公式：更新画面" }, { "url": "https://wordpress.org/documentation/article/manage-plugins/", "label": "WordPress公式：プラグインの確認と更新" } ] } }, { "id": "CVE-2026-110191", "aliases": [], "title": "Product Delivery Date for WooCommerce：脆弱性情報", "summary": "Product Delivery Date for WooCommerceを使っている方が確認する情報です。製品名と版を確認し、提供元にこの番号への対応状況を問い合わせてください。公開された対象範囲を下に日本語で示しています。", "risk": "具体的な被害の種類を、取り込んだ情報から正確に整理できていません。製品を使っている場合は、CVE番号と利用中の版を添えて、影響と修正状況を提供元に確認してください。", "product": "Product Delivery Date for WooCommerce", "category": "wordpress", "component": "plugin", "severity": "low", "cvss": 2.7, "cvssVersion": "3.1", "cvssSource": "134c704f-9b21-4f2e-91b3-4a467353bcc0", "cvssVector": "CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:L/I:N/A:N", "affected": [ { "product": "Product Delivery Date for WooCommerce", "range": "< 3.3.2" } ], "fixed": [], "steps": [ "「CVE-2026-110191」と現在の版を管理担当者・提供元へ伝え、この問題に対応した修正版が提供されているか確認します。下の問い合わせ文に記入すれば、そのまま依頼できます。対象範囲の上限から修正版の番号を推測しないでください。", "ファイルとデータベースのバックアップを取り、管理画面の「ダッシュボード」→「更新」で該当プラグインの更新を実行します。更新が表示されない有料製品などは、購入先・開発元の正規の配布経路を利用してください。" ], "references": [ { "url": "https://nvd.nist.gov/vuln/detail/CVE-2026-110191", "label": "NVDの原文" }, { "url": "https://wpscan.com/vulnerability/d7310c1a-f858-4dc5-8102-813fb64096a6/", "label": "contact@wpscan.com" }, { "url": "https://www.first.org/cvss/v3.1/specification-document", "label": "FIRST公式：CVSS 3.1の条件の定義" }, { "url": "https://wordpress.org/documentation/article/plugins-screen/", "label": "WordPress公式：プラグイン一覧" }, { "url": "https://wordpress.org/documentation/article/site-health-screen/", "label": "WordPress公式：サイトヘルスの情報" }, { "url": "https://wordpress.org/documentation/article/updating-wordpress/", "label": "WordPress公式：本体の更新" }, { "url": "https://wordpress.org/documentation/article/dashboard-updates-screen/", "label": "WordPress公式：更新画面" }, { "url": "https://wordpress.org/documentation/article/manage-plugins/", "label": "WordPress公式：プラグインの確認と更新" } ], "publishedAt": "2026-10-16T07:17:10.920Z", "modifiedAt": "2026-10-16T15:17:10.030Z", "fetchedAt": "2026-10-22T22:09:30.689Z", "exploitStatus": "unknown", "sources": [ "NVD" ], "originalText": "The Product Delivery Date for WooCommerce WordPress plugin before 3.3.2 does not perform a capability check before disclosing order details through its calendar view AJAX actions, allowing users with a role as low as Contributor to view other customers' order information.", "sourceTitle": "CVE-2026-110191", "summaryMethod": "公開データの対象範囲・CVSS条件を日本語化し、製品ごとの一般的な操作手順を補足しています。個別の全文翻訳・環境診断ではありません。", "state": "published", "affectedDetails": [ { "vendor": "Unknown", "product": "Product Delivery Date for WooCommerce", "defaultStatus": "unaffected", "versions": [ { "version": "0", "lessThan": "3.3.2", "versionType": "semver", "status": "affected" } ] } ], "sourceSnapshots": [ { "source": "NVD", "modifiedAt": "2026-10-16T15:17:10.030Z", "fetchedAt": "2026-10-22T22:09:30.689Z", "state": "published" } ], "sourceSummary": "Product Delivery Date for WooCommerceに脆弱性情報に関する脆弱性情報があります。影響を受ける条件を確認してください。", "sourceRisk": "影響と攻撃の成立条件は、リンク先の公式情報で確認してください。", "guidance": { "schemaVersion": "1.0", "method": "structured", "reviewedAt": null, "reviewState": "unreviewed", "summary": "Product Delivery Date for WooCommerceを使っている方が確認する情報です。製品名と版を確認し、提供元にこの番号への対応状況を問い合わせてください。公開された対象範囲を下に日本語で示しています。", "risk": "具体的な被害の種類を、取り込んだ情報から正確に整理できていません。製品を使っている場合は、CVE番号と利用中の版を添えて、影響と修正状況を提供元に確認してください。", "applicability": [ { "text": "最初に「Product Delivery Date for WooCommerce」を使っているか、開発元・製品名・バージョンを確認します。同じカテゴリの製品を使っているだけでは、この問題の対象とは限りません。", "kind": "check", "sourceUrls": [ "https://nvd.nist.gov/vuln/detail/CVE-2026-110191", "https://wpscan.com/vulnerability/d7310c1a-f858-4dc5-8102-813fb64096a6/" ] }, { "text": "公開データの対象範囲：Product Delivery Date for WooCommerce — 3.3.2未満。この範囲に加え、下に記載する権限・構成などの条件も照合してください。", "kind": "fact", "sourceUrls": [ "https://nvd.nist.gov/vuln/detail/CVE-2026-110191", "https://wpscan.com/vulnerability/d7310c1a-f858-4dc5-8102-813fb64096a6/" ] }, { "text": "公表されたCVSS評価では、攻撃者は事前に強い管理権限を持つ必要があります。必要な権限の正確な名前や機能は、個別の条件と照合してください。", "kind": "fact", "sourceUrls": [ "https://nvd.nist.gov/vuln/detail/CVE-2026-110191", "https://wpscan.com/vulnerability/d7310c1a-f858-4dc5-8102-813fb64096a6/", "https://www.first.org/cvss/v3.1/specification-document" ] }, { "text": "公表されたCVSS評価では、ネットワーク越しに攻撃が届く経路があります。あなたの環境がインターネットから到達可能かどうかは、公開設定を別に確認する必要があります。", "kind": "fact", "sourceUrls": [ "https://nvd.nist.gov/vuln/detail/CVE-2026-110191", "https://wpscan.com/vulnerability/d7310c1a-f858-4dc5-8102-813fb64096a6/", "https://www.first.org/cvss/v3.1/specification-document" ] }, { "text": "公表されたCVSS評価では、攻撃者以外の利用者がリンクを開くなどの操作をしなくても、攻撃が成立し得ます。", "kind": "fact", "sourceUrls": [ "https://nvd.nist.gov/vuln/detail/CVE-2026-110191", "https://wpscan.com/vulnerability/d7310c1a-f858-4dc5-8102-813fb64096a6/", "https://www.first.org/cvss/v3.1/specification-document" ] } ], "versionChecks": [ { "text": "WordPressの管理画面にログインし、「プラグイン」→「インストール済みプラグイン」を開きます。「Product Delivery Date for WooCommerce」と同じ製品名・開発元の項目を探し、表示されているバージョンを控えてください。停止中のプラグインも一覧に含めて確認します。", "kind": "procedure", "sourceUrls": [ "https://wordpress.org/documentation/article/plugins-screen/" ] }, { "text": "管理画面に入れない、または同じ名前の製品を判別できない場合は、下の問い合わせ文をサイトの制作会社・管理担当者に送ってください。名前が見つからないという理由だけで、安全とは判定しないでください。", "kind": "procedure", "sourceUrls": [ "https://wordpress.org/documentation/article/site-health-screen/", "https://wordpress.org/documentation/article/plugins-screen/" ] } ], "actions": [ { "text": "「CVE-2026-110191」と現在の版を管理担当者・提供元へ伝え、この問題に対応した修正版が提供されているか確認します。下の問い合わせ文に記入すれば、そのまま依頼できます。対象範囲の上限から修正版の番号を推測しないでください。", "kind": "procedure", "sourceUrls": [ "https://nvd.nist.gov/vuln/detail/CVE-2026-110191", "https://wpscan.com/vulnerability/d7310c1a-f858-4dc5-8102-813fb64096a6/" ] }, { "text": "ファイルとデータベースのバックアップを取り、管理画面の「ダッシュボード」→「更新」で該当プラグインの更新を実行します。更新が表示されない有料製品などは、購入先・開発元の正規の配布経路を利用してください。", "kind": "procedure", "sourceUrls": [ "https://wordpress.org/documentation/article/updating-wordpress/", "https://wordpress.org/documentation/article/dashboard-updates-screen/", "https://wordpress.org/documentation/article/manage-plugins/" ] } ], "temporaryMitigations": [ { "text": "更新できない場合は、対象機能の停止や公開範囲の制限が使えるかを管理担当者と検討し、実施内容と更新予定日を記録してください。プラグインの「無効化」だけでこの脆弱性を防げるかは個別に確認が必要です。", "kind": "procedure", "sourceUrls": [ "https://wordpress.org/documentation/article/plugins-screen/", "https://nvd.nist.gov/vuln/detail/CVE-2026-110191", "https://wpscan.com/vulnerability/d7310c1a-f858-4dc5-8102-813fb64096a6/" ] } ], "verification": [ { "text": "更新後に同じ管理画面を開き直してバージョンを記録します。修正対象の系列・版と一致するかを照合し、サイト表示、ログイン、フォームや購入など普段使う主要な操作も確認してください。更新ボタンを押しただけでは完了としないでください。", "kind": "procedure", "sourceUrls": [ "https://wordpress.org/documentation/article/updating-wordpress/", "https://wordpress.org/documentation/article/dashboard-updates-screen/" ] } ], "unknowns": [ "取り込んだ公開データには、修正済みと明記されたバージョン番号がありません。「修正されていない」と確定したわけではありません。下の問い合わせ文で、修正版の番号・提供場所・適用予定を確認できます。" ], "supportRequest": "件名：CVE-2026-110191（Product Delivery Date for WooCommerce）の影響と対応状況の確認\n\n利用中のサイト・機器・サービス：[記入してください]\n製品名・開発元：[記入してください]\n現在のバージョン・ビルド番号：[不明なら「不明」と記入]\n\nCVE-2026-110191について、次を教えてください。\n1. この環境は対象ですか。対象外の場合は、版・設定・機能などの判断理由を教えてください。\n2. 対象の場合、修正を含む版・パッケージ番号と、更新方法を教えてください。古い版に修正を取り込んでいる場合は、このCVEへの対応状況を教えてください。\n3. いつ対応できますか。再起動・停止時間・事前のバックアップや確認作業は必要ですか。\n4. すぐ更新できない場合、正式な回避策とその限界・副作用を教えてください。利用を続けてよい条件も知りたいです。\n5. 対応完了後、修正を確認できる版・設定・対応日時を連絡してください。\n\n確認している情報：https://zeijaku.ittrip.xyz/vulnerabilities/CVE-2026-110191", "sources": [ { "url": "https://nvd.nist.gov/vuln/detail/CVE-2026-110191", "label": "NVDの原文" }, { "url": "https://wpscan.com/vulnerability/d7310c1a-f858-4dc5-8102-813fb64096a6/", "label": "contact@wpscan.com" }, { "url": "https://www.first.org/cvss/v3.1/specification-document", "label": "FIRST公式：CVSS 3.1の条件の定義" }, { "url": "https://wordpress.org/documentation/article/plugins-screen/", "label": "WordPress公式：プラグイン一覧" }, { "url": "https://wordpress.org/documentation/article/site-health-screen/", "label": "WordPress公式：サイトヘルスの情報" }, { "url": "https://wordpress.org/documentation/article/updating-wordpress/", "label": "WordPress公式：本体の更新" }, { "url": "https://wordpress.org/documentation/article/dashboard-updates-screen/", "label": "WordPress公式：更新画面" }, { "url": "https://wordpress.org/documentation/article/manage-plugins/", "label": "WordPress公式：プラグインの確認と更新" } ] } }, { "id": "CVE-2026-110179", "aliases": [], "title": "affiliate-toolkit：データベースへの不正操作", "summary": "affiliate-toolkitを使っている方が確認する情報です。公表文は「データベースへの不正操作」に関する問題を示しています。公開された対象範囲を下に日本語で示しています。", "risk": "入力内容がデータベースへの命令として誤って扱われ、保存された情報を読み取られたり、変更されたりするおそれがあります。具体的な操作範囲は製品の権限や構成によります。", "product": "affiliate-toolkit", "category": "wordpress", "component": "plugin", "severity": "medium", "cvss": 6.8, "cvssVersion": "3.1", "cvssSource": "134c704f-9b21-4f2e-91b3-4a467353bcc0", "cvssVector": "CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:N/A:N", "affected": [ { "product": "affiliate-toolkit", "range": "< 3.8.9" } ], "fixed": [], "steps": [ "「CVE-2026-110179」と現在の版を管理担当者・提供元へ伝え、この問題に対応した修正版が提供されているか確認します。下の問い合わせ文に記入すれば、そのまま依頼できます。対象範囲の上限から修正版の番号を推測しないでください。", "ファイルとデータベースのバックアップを取り、管理画面の「ダッシュボード」→「更新」で該当プラグインの更新を実行します。更新が表示されない有料製品などは、購入先・開発元の正規の配布経路を利用してください。" ], "references": [ { "url": "https://nvd.nist.gov/vuln/detail/CVE-2026-110179", "label": "NVDの原文" }, { "url": "https://wpscan.com/vulnerability/fed6e817-c046-4749-b594-4ff12240f666/", "label": "contact@wpscan.com" }, { "url": "https://www.first.org/cvss/v3.1/specification-document", "label": "FIRST公式：CVSS 3.1の条件の定義" }, { "url": "https://wordpress.org/documentation/article/plugins-screen/", "label": "WordPress公式：プラグイン一覧" }, { "url": "https://wordpress.org/documentation/article/site-health-screen/", "label": "WordPress公式：サイトヘルスの情報" }, { "url": "https://wordpress.org/documentation/article/updating-wordpress/", "label": "WordPress公式：本体の更新" }, { "url": "https://wordpress.org/documentation/article/dashboard-updates-screen/", "label": "WordPress公式：更新画面" }, { "url": "https://wordpress.org/documentation/article/manage-plugins/", "label": "WordPress公式：プラグインの確認と更新" } ], "publishedAt": "2026-10-16T07:17:10.807Z", "modifiedAt": "2026-10-16T15:17:09.840Z", "fetchedAt": "2026-10-22T22:09:30.689Z", "exploitStatus": "unknown", "sources": [ "NVD" ], "originalText": "The affiliate-toolkit WordPress plugin before 3.8.9 does not validate a user-supplied sort value against an allowlist before using it in a database query, and the affected administrative list screen requires only a lower-privilege capability rather than an administrator one, so users with editor-level access and above can perform SQL injection and read arbitrary information from the database. On multisite a sub-site editor can read the network-global users table, including the super administrator's password hash.", "sourceTitle": "CVE-2026-110179", "summaryMethod": "公開データの対象範囲・CVSS条件を日本語化し、製品ごとの一般的な操作手順を補足しています。個別の全文翻訳・環境診断ではありません。", "state": "published", "affectedDetails": [ { "vendor": "Unknown", "product": "affiliate-toolkit", "defaultStatus": "unaffected", "versions": [ { "version": "0", "lessThan": "3.8.9", "versionType": "semver", "status": "affected" } ] } ], "sourceSnapshots": [ { "source": "NVD", "modifiedAt": "2026-10-16T15:17:09.840Z", "fetchedAt": "2026-10-22T22:09:30.689Z", "state": "published" } ], "sourceSummary": "affiliate-toolkitにデータベースへの不正操作に関する脆弱性情報があります。影響を受ける条件を確認してください。", "sourceRisk": "データベースに不正な命令を送られ、情報の閲覧や変更につながる可能性があります。", "guidance": { "schemaVersion": "1.0", "method": "structured", "reviewedAt": null, "reviewState": "unreviewed", "summary": "affiliate-toolkitを使っている方が確認する情報です。公表文は「データベースへの不正操作」に関する問題を示しています。公開された対象範囲を下に日本語で示しています。", "risk": "入力内容がデータベースへの命令として誤って扱われ、保存された情報を読み取られたり、変更されたりするおそれがあります。具体的な操作範囲は製品の権限や構成によります。", "applicability": [ { "text": "最初に「affiliate-toolkit」を使っているか、開発元・製品名・バージョンを確認します。同じカテゴリの製品を使っているだけでは、この問題の対象とは限りません。", "kind": "check", "sourceUrls": [ "https://nvd.nist.gov/vuln/detail/CVE-2026-110179", "https://wpscan.com/vulnerability/fed6e817-c046-4749-b594-4ff12240f666/" ] }, { "text": "公開データの対象範囲：affiliate-toolkit — 3.8.9未満。この範囲に加え、下に記載する権限・構成などの条件も照合してください。", "kind": "fact", "sourceUrls": [ "https://nvd.nist.gov/vuln/detail/CVE-2026-110179", "https://wpscan.com/vulnerability/fed6e817-c046-4749-b594-4ff12240f666/" ] }, { "text": "公表されたCVSS評価では、攻撃者は事前に強い管理権限を持つ必要があります。必要な権限の正確な名前や機能は、個別の条件と照合してください。", "kind": "fact", "sourceUrls": [ "https://nvd.nist.gov/vuln/detail/CVE-2026-110179", "https://wpscan.com/vulnerability/fed6e817-c046-4749-b594-4ff12240f666/", "https://www.first.org/cvss/v3.1/specification-document" ] }, { "text": "公表されたCVSS評価では、ネットワーク越しに攻撃が届く経路があります。あなたの環境がインターネットから到達可能かどうかは、公開設定を別に確認する必要があります。", "kind": "fact", "sourceUrls": [ "https://nvd.nist.gov/vuln/detail/CVE-2026-110179", "https://wpscan.com/vulnerability/fed6e817-c046-4749-b594-4ff12240f666/", "https://www.first.org/cvss/v3.1/specification-document" ] }, { "text": "公表されたCVSS評価では、攻撃者以外の利用者がリンクを開くなどの操作をしなくても、攻撃が成立し得ます。", "kind": "fact", "sourceUrls": [ "https://nvd.nist.gov/vuln/detail/CVE-2026-110179", "https://wpscan.com/vulnerability/fed6e817-c046-4749-b594-4ff12240f666/", "https://www.first.org/cvss/v3.1/specification-document" ] } ], "versionChecks": [ { "text": "WordPressの管理画面にログインし、「プラグイン」→「インストール済みプラグイン」を開きます。「affiliate-toolkit」と同じ製品名・開発元の項目を探し、表示されているバージョンを控えてください。停止中のプラグインも一覧に含めて確認します。", "kind": "procedure", "sourceUrls": [ "https://wordpress.org/documentation/article/plugins-screen/" ] }, { "text": "管理画面に入れない、または同じ名前の製品を判別できない場合は、下の問い合わせ文をサイトの制作会社・管理担当者に送ってください。名前が見つからないという理由だけで、安全とは判定しないでください。", "kind": "procedure", "sourceUrls": [ "https://wordpress.org/documentation/article/site-health-screen/", "https://wordpress.org/documentation/article/plugins-screen/" ] } ], "actions": [ { "text": "「CVE-2026-110179」と現在の版を管理担当者・提供元へ伝え、この問題に対応した修正版が提供されているか確認します。下の問い合わせ文に記入すれば、そのまま依頼できます。対象範囲の上限から修正版の番号を推測しないでください。", "kind": "procedure", "sourceUrls": [ "https://nvd.nist.gov/vuln/detail/CVE-2026-110179", "https://wpscan.com/vulnerability/fed6e817-c046-4749-b594-4ff12240f666/" ] }, { "text": "ファイルとデータベースのバックアップを取り、管理画面の「ダッシュボード」→「更新」で該当プラグインの更新を実行します。更新が表示されない有料製品などは、購入先・開発元の正規の配布経路を利用してください。", "kind": "procedure", "sourceUrls": [ "https://wordpress.org/documentation/article/updating-wordpress/", "https://wordpress.org/documentation/article/dashboard-updates-screen/", "https://wordpress.org/documentation/article/manage-plugins/" ] } ], "temporaryMitigations": [ { "text": "更新できない場合は、対象機能の停止や公開範囲の制限が使えるかを管理担当者と検討し、実施内容と更新予定日を記録してください。プラグインの「無効化」だけでこの脆弱性を防げるかは個別に確認が必要です。", "kind": "procedure", "sourceUrls": [ "https://wordpress.org/documentation/article/plugins-screen/", "https://nvd.nist.gov/vuln/detail/CVE-2026-110179", "https://wpscan.com/vulnerability/fed6e817-c046-4749-b594-4ff12240f666/" ] } ], "verification": [ { "text": "更新後に同じ管理画面を開き直してバージョンを記録します。修正対象の系列・版と一致するかを照合し、サイト表示、ログイン、フォームや購入など普段使う主要な操作も確認してください。更新ボタンを押しただけでは完了としないでください。", "kind": "procedure", "sourceUrls": [ "https://wordpress.org/documentation/article/updating-wordpress/", "https://wordpress.org/documentation/article/dashboard-updates-screen/" ] } ], "unknowns": [ "取り込んだ公開データには、修正済みと明記されたバージョン番号がありません。「修正されていない」と確定したわけではありません。下の問い合わせ文で、修正版の番号・提供場所・適用予定を確認できます。" ], "supportRequest": "件名：CVE-2026-110179（affiliate-toolkit）の影響と対応状況の確認\n\n利用中のサイト・機器・サービス：[記入してください]\n製品名・開発元：[記入してください]\n現在のバージョン・ビルド番号：[不明なら「不明」と記入]\n\nCVE-2026-110179について、次を教えてください。\n1. この環境は対象ですか。対象外の場合は、版・設定・機能などの判断理由を教えてください。\n2. 対象の場合、修正を含む版・パッケージ番号と、更新方法を教えてください。古い版に修正を取り込んでいる場合は、このCVEへの対応状況を教えてください。\n3. いつ対応できますか。再起動・停止時間・事前のバックアップや確認作業は必要ですか。\n4. すぐ更新できない場合、正式な回避策とその限界・副作用を教えてください。利用を続けてよい条件も知りたいです。\n5. 対応完了後、修正を確認できる版・設定・対応日時を連絡してください。\n\n確認している情報：https://zeijaku.ittrip.xyz/vulnerabilities/CVE-2026-110179", "sources": [ { "url": "https://nvd.nist.gov/vuln/detail/CVE-2026-110179", "label": "NVDの原文" }, { "url": "https://wpscan.com/vulnerability/fed6e817-c046-4749-b594-4ff12240f666/", "label": "contact@wpscan.com" }, { "url": "https://www.first.org/cvss/v3.1/specification-document", "label": "FIRST公式：CVSS 3.1の条件の定義" }, { "url": "https://wordpress.org/documentation/article/plugins-screen/", "label": "WordPress公式：プラグイン一覧" }, { "url": "https://wordpress.org/documentation/article/site-health-screen/", "label": "WordPress公式：サイトヘルスの情報" }, { "url": "https://wordpress.org/documentation/article/updating-wordpress/", "label": "WordPress公式：本体の更新" }, { "url": "https://wordpress.org/documentation/article/dashboard-updates-screen/", "label": "WordPress公式：更新画面" }, { "url": "https://wordpress.org/documentation/article/manage-plugins/", "label": "WordPress公式：プラグインの確認と更新" } ] } }, { "id": "CVE-2026-110135", "aliases": [], "title": "OTP Login & Register Woocommerce：脆弱性情報", "summary": "OTP Login & Register Woocommerceを使っている方が確認する情報です。製品名と版を確認し、提供元にこの番号への対応状況を問い合わせてください。公開された対象範囲を下に日本語で示しています。", "risk": "具体的な被害の種類を、取り込んだ情報から正確に整理できていません。製品を使っている場合は、CVE番号と利用中の版を添えて、影響と修正状況を提供元に確認してください。", "product": "OTP Login & Register Woocommerce", "category": "wordpress", "component": "plugin", "severity": "high", "cvss": 7.4, "cvssVersion": "3.1", "cvssSource": "134c704f-9b21-4f2e-91b3-4a467353bcc0", "cvssVector": "CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:N", "affected": [ { "product": "OTP Login & Register Woocommerce", "range": "< 2.7.3" } ], "fixed": [], "steps": [ "「CVE-2026-110135」と現在の版を管理担当者・提供元へ伝え、この問題に対応した修正版が提供されているか確認します。下の問い合わせ文に記入すれば、そのまま依頼できます。対象範囲の上限から修正版の番号を推測しないでください。", "ファイルとデータベースのバックアップを取り、管理画面の「ダッシュボード」→「更新」で該当プラグインの更新を実行します。更新が表示されない有料製品などは、購入先・開発元の正規の配布経路を利用してください。" ], "references": [ { "url": "https://nvd.nist.gov/vuln/detail/CVE-2026-110135", "label": "NVDの原文" }, { "url": "https://wpscan.com/vulnerability/73f0e85d-c145-4048-9fbd-20308d163b87/", "label": "contact@wpscan.com" }, { "url": "https://www.first.org/cvss/v3.1/specification-document", "label": "FIRST公式：CVSS 3.1の条件の定義" }, { "url": "https://wordpress.org/documentation/article/plugins-screen/", "label": "WordPress公式：プラグイン一覧" }, { "url": "https://wordpress.org/documentation/article/site-health-screen/", "label": "WordPress公式：サイトヘルスの情報" }, { "url": "https://wordpress.org/documentation/article/updating-wordpress/", "label": "WordPress公式：本体の更新" }, { "url": "https://wordpress.org/documentation/article/dashboard-updates-screen/", "label": "WordPress公式：更新画面" }, { "url": "https://wordpress.org/documentation/article/manage-plugins/", "label": "WordPress公式：プラグインの確認と更新" } ], "publishedAt": "2026-10-16T07:17:10.683Z", "modifiedAt": "2026-10-16T15:17:09.643Z", "fetchedAt": "2026-10-22T22:09:30.689Z", "exploitStatus": "unknown", "sources": [ "NVD" ], "originalText": "The OTP Login & Register Woocommerce WordPress plugin before 2.7.3 does not adequately limit one-time-password verification attempts, because the attempt limit is tracked against a value the client itself supplies and can change freely, allowing an unauthenticated attacker to bypass the limit and brute-force the short numeric login code to take over an account without its password.", "sourceTitle": "CVE-2026-110135", "summaryMethod": "公開データの対象範囲・CVSS条件を日本語化し、製品ごとの一般的な操作手順を補足しています。個別の全文翻訳・環境診断ではありません。", "state": "published", "affectedDetails": [ { "vendor": "Unknown", "product": "OTP Login & Register Woocommerce", "defaultStatus": "unaffected", "versions": [ { "version": "0", "lessThan": "2.7.3", "versionType": "semver", "status": "affected" } ] } ], "sourceSnapshots": [ { "source": "NVD", "modifiedAt": "2026-10-16T15:17:09.643Z", "fetchedAt": "2026-10-22T22:09:30.689Z", "state": "published" } ], "sourceSummary": "OTP Login & Register Woocommerceに脆弱性情報に関する脆弱性情報があります。影響を受ける条件を確認してください。", "sourceRisk": "影響と攻撃の成立条件は、リンク先の公式情報で確認してください。", "guidance": { "schemaVersion": "1.0", "method": "structured", "reviewedAt": null, "reviewState": "unreviewed", "summary": "OTP Login & Register Woocommerceを使っている方が確認する情報です。製品名と版を確認し、提供元にこの番号への対応状況を問い合わせてください。公開された対象範囲を下に日本語で示しています。", "risk": "具体的な被害の種類を、取り込んだ情報から正確に整理できていません。製品を使っている場合は、CVE番号と利用中の版を添えて、影響と修正状況を提供元に確認してください。", "applicability": [ { "text": "最初に「OTP Login & Register Woocommerce」を使っているか、開発元・製品名・バージョンを確認します。同じカテゴリの製品を使っているだけでは、この問題の対象とは限りません。", "kind": "check", "sourceUrls": [ "https://nvd.nist.gov/vuln/detail/CVE-2026-110135", "https://wpscan.com/vulnerability/73f0e85d-c145-4048-9fbd-20308d163b87/" ] }, { "text": "公開データの対象範囲：OTP Login & Register Woocommerce — 2.7.3未満。この範囲に加え、下に記載する権限・構成などの条件も照合してください。", "kind": "fact", "sourceUrls": [ "https://nvd.nist.gov/vuln/detail/CVE-2026-110135", "https://wpscan.com/vulnerability/73f0e85d-c145-4048-9fbd-20308d163b87/" ] }, { "text": "公表されたCVSS評価では、攻撃前に対象システムの権限を持っている必要はありません。他の構成・機能の条件まで不要という意味ではありません。", "kind": "fact", "sourceUrls": [ "https://nvd.nist.gov/vuln/detail/CVE-2026-110135", "https://wpscan.com/vulnerability/73f0e85d-c145-4048-9fbd-20308d163b87/", "https://www.first.org/cvss/v3.1/specification-document" ] }, { "text": "公表されたCVSS評価では、ネットワーク越しに攻撃が届く経路があります。あなたの環境がインターネットから到達可能かどうかは、公開設定を別に確認する必要があります。", "kind": "fact", "sourceUrls": [ "https://nvd.nist.gov/vuln/detail/CVE-2026-110135", "https://wpscan.com/vulnerability/73f0e85d-c145-4048-9fbd-20308d163b87/", "https://www.first.org/cvss/v3.1/specification-document" ] }, { "text": "公表されたCVSS評価では、攻撃者以外の利用者がリンクを開くなどの操作をしなくても、攻撃が成立し得ます。", "kind": "fact", "sourceUrls": [ "https://nvd.nist.gov/vuln/detail/CVE-2026-110135", "https://wpscan.com/vulnerability/73f0e85d-c145-4048-9fbd-20308d163b87/", "https://www.first.org/cvss/v3.1/specification-document" ] } ], "versionChecks": [ { "text": "WordPressの管理画面にログインし、「プラグイン」→「インストール済みプラグイン」を開きます。「OTP Login & Register Woocommerce」と同じ製品名・開発元の項目を探し、表示されているバージョンを控えてください。停止中のプラグインも一覧に含めて確認します。", "kind": "procedure", "sourceUrls": [ "https://wordpress.org/documentation/article/plugins-screen/" ] }, { "text": "管理画面に入れない、または同じ名前の製品を判別できない場合は、下の問い合わせ文をサイトの制作会社・管理担当者に送ってください。名前が見つからないという理由だけで、安全とは判定しないでください。", "kind": "procedure", "sourceUrls": [ "https://wordpress.org/documentation/article/site-health-screen/", "https://wordpress.org/documentation/article/plugins-screen/" ] } ], "actions": [ { "text": "「CVE-2026-110135」と現在の版を管理担当者・提供元へ伝え、この問題に対応した修正版が提供されているか確認します。下の問い合わせ文に記入すれば、そのまま依頼できます。対象範囲の上限から修正版の番号を推測しないでください。", "kind": "procedure", "sourceUrls": [ "https://nvd.nist.gov/vuln/detail/CVE-2026-110135", "https://wpscan.com/vulnerability/73f0e85d-c145-4048-9fbd-20308d163b87/" ] }, { "text": "ファイルとデータベースのバックアップを取り、管理画面の「ダッシュボード」→「更新」で該当プラグインの更新を実行します。更新が表示されない有料製品などは、購入先・開発元の正規の配布経路を利用してください。", "kind": "procedure", "sourceUrls": [ "https://wordpress.org/documentation/article/updating-wordpress/", "https://wordpress.org/documentation/article/dashboard-updates-screen/", "https://wordpress.org/documentation/article/manage-plugins/" ] } ], "temporaryMitigations": [ { "text": "更新できない場合は、対象機能の停止や公開範囲の制限が使えるかを管理担当者と検討し、実施内容と更新予定日を記録してください。プラグインの「無効化」だけでこの脆弱性を防げるかは個別に確認が必要です。", "kind": "procedure", "sourceUrls": [ "https://wordpress.org/documentation/article/plugins-screen/", "https://nvd.nist.gov/vuln/detail/CVE-2026-110135", "https://wpscan.com/vulnerability/73f0e85d-c145-4048-9fbd-20308d163b87/" ] } ], "verification": [ { "text": "更新後に同じ管理画面を開き直してバージョンを記録します。修正対象の系列・版と一致するかを照合し、サイト表示、ログイン、フォームや購入など普段使う主要な操作も確認してください。更新ボタンを押しただけでは完了としないでください。", "kind": "procedure", "sourceUrls": [ "https://wordpress.org/documentation/article/updating-wordpress/", "https://wordpress.org/documentation/article/dashboard-updates-screen/" ] } ], "unknowns": [ "取り込んだ公開データには、修正済みと明記されたバージョン番号がありません。「修正されていない」と確定したわけではありません。下の問い合わせ文で、修正版の番号・提供場所・適用予定を確認できます。" ], "supportRequest": "件名：CVE-2026-110135（OTP Login & Register Woocommerce）の影響と対応状況の確認\n\n利用中のサイト・機器・サービス：[記入してください]\n製品名・開発元：[記入してください]\n現在のバージョン・ビルド番号：[不明なら「不明」と記入]\n\nCVE-2026-110135について、次を教えてください。\n1. この環境は対象ですか。対象外の場合は、版・設定・機能などの判断理由を教えてください。\n2. 対象の場合、修正を含む版・パッケージ番号と、更新方法を教えてください。古い版に修正を取り込んでいる場合は、このCVEへの対応状況を教えてください。\n3. いつ対応できますか。再起動・停止時間・事前のバックアップや確認作業は必要ですか。\n4. すぐ更新できない場合、正式な回避策とその限界・副作用を教えてください。利用を続けてよい条件も知りたいです。\n5. 対応完了後、修正を確認できる版・設定・対応日時を連絡してください。\n\n確認している情報：https://zeijaku.ittrip.xyz/vulnerabilities/CVE-2026-110135", "sources": [ { "url": "https://nvd.nist.gov/vuln/detail/CVE-2026-110135", "label": "NVDの原文" }, { "url": "https://wpscan.com/vulnerability/73f0e85d-c145-4048-9fbd-20308d163b87/", "label": "contact@wpscan.com" }, { "url": "https://www.first.org/cvss/v3.1/specification-document", "label": "FIRST公式：CVSS 3.1の条件の定義" }, { "url": "https://wordpress.org/documentation/article/plugins-screen/", "label": "WordPress公式：プラグイン一覧" }, { "url": "https://wordpress.org/documentation/article/site-health-screen/", "label": "WordPress公式：サイトヘルスの情報" }, { "url": "https://wordpress.org/documentation/article/updating-wordpress/", "label": "WordPress公式：本体の更新" }, { "url": "https://wordpress.org/documentation/article/dashboard-updates-screen/", "label": "WordPress公式：更新画面" }, { "url": "https://wordpress.org/documentation/article/manage-plugins/", "label": "WordPress公式：プラグインの確認と更新" } ] } }, { "id": "CVE-2026-110039", "aliases": [], "title": "Smush：脆弱性情報", "summary": "Smushを使っている方が確認する情報です。製品名と版を確認し、提供元にこの番号への対応状況を問い合わせてください。公開された対象範囲を下に日本語で示しています。", "risk": "具体的な被害の種類を、取り込んだ情報から正確に整理できていません。製品を使っている場合は、CVE番号と利用中の版を添えて、影響と修正状況を提供元に確認してください。", "product": "Smush", "category": "wordpress", "component": "plugin", "severity": "low", "cvss": 2.7, "cvssVersion": "3.1", "cvssSource": "134c704f-9b21-4f2e-91b3-4a467353bcc0", "cvssVector": "CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:N/I:L/A:N", "affected": [ { "product": "Smush", "range": "< 4.3.4" } ], "fixed": [], "steps": [ "「CVE-2026-110039」と現在の版を管理担当者・提供元へ伝え、この問題に対応した修正版が提供されているか確認します。下の問い合わせ文に記入すれば、そのまま依頼できます。対象範囲の上限から修正版の番号を推測しないでください。", "ファイルとデータベースのバックアップを取り、管理画面の「ダッシュボード」→「更新」で該当プラグインの更新を実行します。更新が表示されない有料製品などは、購入先・開発元の正規の配布経路を利用してください。" ], "references": [ { "url": "https://nvd.nist.gov/vuln/detail/CVE-2026-110039", "label": "NVDの原文" }, { "url": "https://wpscan.com/vulnerability/4f27b2fd-1b27-4274-85c5-f19e6998aa44/", "label": "contact@wpscan.com" }, { "url": "https://www.first.org/cvss/v3.1/specification-document", "label": "FIRST公式：CVSS 3.1の条件の定義" }, { "url": "https://wordpress.org/documentation/article/plugins-screen/", "label": "WordPress公式：プラグイン一覧" }, { "url": "https://wordpress.org/documentation/article/site-health-screen/", "label": "WordPress公式：サイトヘルスの情報" }, { "url": "https://wordpress.org/documentation/article/updating-wordpress/", "label": "WordPress公式：本体の更新" }, { "url": "https://wordpress.org/documentation/article/dashboard-updates-screen/", "label": "WordPress公式：更新画面" }, { "url": "https://wordpress.org/documentation/article/manage-plugins/", "label": "WordPress公式：プラグインの確認と更新" } ], "publishedAt": "2026-10-16T07:17:10.573Z", "modifiedAt": "2026-10-16T15:17:09.443Z", "fetchedAt": "2026-10-22T22:09:30.689Z", "exploitStatus": "unknown", "sources": [ "NVD" ], "originalText": "The Smush WordPress plugin before 4.3.4 does not restrict changes to a network-wide access setting to network administrators, allowing an administrator of a single site on a multisite network to change it for the entire network.", "sourceTitle": "CVE-2026-110039", "summaryMethod": "公開データの対象範囲・CVSS条件を日本語化し、製品ごとの一般的な操作手順を補足しています。個別の全文翻訳・環境診断ではありません。", "state": "published", "affectedDetails": [ { "vendor": "Unknown", "product": "Smush", "defaultStatus": "unaffected", "versions": [ { "version": "0", "lessThan": "4.3.4", "versionType": "semver", "status": "affected" } ] } ], "sourceSnapshots": [ { "source": "NVD", "modifiedAt": "2026-10-16T15:17:09.443Z", "fetchedAt": "2026-10-22T22:09:30.689Z", "state": "published" } ], "sourceSummary": "Smushに脆弱性情報に関する脆弱性情報があります。影響を受ける条件を確認してください。", "sourceRisk": "影響と攻撃の成立条件は、リンク先の公式情報で確認してください。", "guidance": { "schemaVersion": "1.0", "method": "structured", "reviewedAt": null, "reviewState": "unreviewed", "summary": "Smushを使っている方が確認する情報です。製品名と版を確認し、提供元にこの番号への対応状況を問い合わせてください。公開された対象範囲を下に日本語で示しています。", "risk": "具体的な被害の種類を、取り込んだ情報から正確に整理できていません。製品を使っている場合は、CVE番号と利用中の版を添えて、影響と修正状況を提供元に確認してください。", "applicability": [ { "text": "最初に「Smush」を使っているか、開発元・製品名・バージョンを確認します。同じカテゴリの製品を使っているだけでは、この問題の対象とは限りません。", "kind": "check", "sourceUrls": [ "https://nvd.nist.gov/vuln/detail/CVE-2026-110039", "https://wpscan.com/vulnerability/4f27b2fd-1b27-4274-85c5-f19e6998aa44/" ] }, { "text": "公開データの対象範囲：Smush — 4.3.4未満。この範囲に加え、下に記載する権限・構成などの条件も照合してください。", "kind": "fact", "sourceUrls": [ "https://nvd.nist.gov/vuln/detail/CVE-2026-110039", "https://wpscan.com/vulnerability/4f27b2fd-1b27-4274-85c5-f19e6998aa44/" ] }, { "text": "公表されたCVSS評価では、攻撃者は事前に強い管理権限を持つ必要があります。必要な権限の正確な名前や機能は、個別の条件と照合してください。", "kind": "fact", "sourceUrls": [ "https://nvd.nist.gov/vuln/detail/CVE-2026-110039", "https://wpscan.com/vulnerability/4f27b2fd-1b27-4274-85c5-f19e6998aa44/", "https://www.first.org/cvss/v3.1/specification-document" ] }, { "text": "公表されたCVSS評価では、ネットワーク越しに攻撃が届く経路があります。あなたの環境がインターネットから到達可能かどうかは、公開設定を別に確認する必要があります。", "kind": "fact", "sourceUrls": [ "https://nvd.nist.gov/vuln/detail/CVE-2026-110039", "https://wpscan.com/vulnerability/4f27b2fd-1b27-4274-85c5-f19e6998aa44/", "https://www.first.org/cvss/v3.1/specification-document" ] }, { "text": "公表されたCVSS評価では、攻撃者以外の利用者がリンクを開くなどの操作をしなくても、攻撃が成立し得ます。", "kind": "fact", "sourceUrls": [ "https://nvd.nist.gov/vuln/detail/CVE-2026-110039", "https://wpscan.com/vulnerability/4f27b2fd-1b27-4274-85c5-f19e6998aa44/", "https://www.first.org/cvss/v3.1/specification-document" ] } ], "versionChecks": [ { "text": "WordPressの管理画面にログインし、「プラグイン」→「インストール済みプラグイン」を開きます。「Smush」と同じ製品名・開発元の項目を探し、表示されているバージョンを控えてください。停止中のプラグインも一覧に含めて確認します。", "kind": "procedure", "sourceUrls": [ "https://wordpress.org/documentation/article/plugins-screen/" ] }, { "text": "管理画面に入れない、または同じ名前の製品を判別できない場合は、下の問い合わせ文をサイトの制作会社・管理担当者に送ってください。名前が見つからないという理由だけで、安全とは判定しないでください。", "kind": "procedure", "sourceUrls": [ "https://wordpress.org/documentation/article/site-health-screen/", "https://wordpress.org/documentation/article/plugins-screen/" ] } ], "actions": [ { "text": "「CVE-2026-110039」と現在の版を管理担当者・提供元へ伝え、この問題に対応した修正版が提供されているか確認します。下の問い合わせ文に記入すれば、そのまま依頼できます。対象範囲の上限から修正版の番号を推測しないでください。", "kind": "procedure", "sourceUrls": [ "https://nvd.nist.gov/vuln/detail/CVE-2026-110039", "https://wpscan.com/vulnerability/4f27b2fd-1b27-4274-85c5-f19e6998aa44/" ] }, { "text": "ファイルとデータベースのバックアップを取り、管理画面の「ダッシュボード」→「更新」で該当プラグインの更新を実行します。更新が表示されない有料製品などは、購入先・開発元の正規の配布経路を利用してください。", "kind": "procedure", "sourceUrls": [ "https://wordpress.org/documentation/article/updating-wordpress/", "https://wordpress.org/documentation/article/dashboard-updates-screen/", "https://wordpress.org/documentation/article/manage-plugins/" ] } ], "temporaryMitigations": [ { "text": "更新できない場合は、対象機能の停止や公開範囲の制限が使えるかを管理担当者と検討し、実施内容と更新予定日を記録してください。プラグインの「無効化」だけでこの脆弱性を防げるかは個別に確認が必要です。", "kind": "procedure", "sourceUrls": [ "https://wordpress.org/documentation/article/plugins-screen/", "https://nvd.nist.gov/vuln/detail/CVE-2026-110039", "https://wpscan.com/vulnerability/4f27b2fd-1b27-4274-85c5-f19e6998aa44/" ] } ], "verification": [ { "text": "更新後に同じ管理画面を開き直してバージョンを記録します。修正対象の系列・版と一致するかを照合し、サイト表示、ログイン、フォームや購入など普段使う主要な操作も確認してください。更新ボタンを押しただけでは完了としないでください。", "kind": "procedure", "sourceUrls": [ "https://wordpress.org/documentation/article/updating-wordpress/", "https://wordpress.org/documentation/article/dashboard-updates-screen/" ] } ], "unknowns": [ "取り込んだ公開データには、修正済みと明記されたバージョン番号がありません。「修正されていない」と確定したわけではありません。下の問い合わせ文で、修正版の番号・提供場所・適用予定を確認できます。" ], "supportRequest": "件名：CVE-2026-110039（Smush）の影響と対応状況の確認\n\n利用中のサイト・機器・サービス：[記入してください]\n製品名・開発元：[記入してください]\n現在のバージョン・ビルド番号：[不明なら「不明」と記入]\n\nCVE-2026-110039について、次を教えてください。\n1. この環境は対象ですか。対象外の場合は、版・設定・機能などの判断理由を教えてください。\n2. 対象の場合、修正を含む版・パッケージ番号と、更新方法を教えてください。古い版に修正を取り込んでいる場合は、このCVEへの対応状況を教えてください。\n3. いつ対応できますか。再起動・停止時間・事前のバックアップや確認作業は必要ですか。\n4. すぐ更新できない場合、正式な回避策とその限界・副作用を教えてください。利用を続けてよい条件も知りたいです。\n5. 対応完了後、修正を確認できる版・設定・対応日時を連絡してください。\n\n確認している情報：https://zeijaku.ittrip.xyz/vulnerabilities/CVE-2026-110039", "sources": [ { "url": "https://nvd.nist.gov/vuln/detail/CVE-2026-110039", "label": "NVDの原文" }, { "url": "https://wpscan.com/vulnerability/4f27b2fd-1b27-4274-85c5-f19e6998aa44/", "label": "contact@wpscan.com" }, { "url": "https://www.first.org/cvss/v3.1/specification-document", "label": "FIRST公式：CVSS 3.1の条件の定義" }, { "url": "https://wordpress.org/documentation/article/plugins-screen/", "label": "WordPress公式：プラグイン一覧" }, { "url": "https://wordpress.org/documentation/article/site-health-screen/", "label": "WordPress公式：サイトヘルスの情報" }, { "url": "https://wordpress.org/documentation/article/updating-wordpress/", "label": "WordPress公式：本体の更新" }, { "url": "https://wordpress.org/documentation/article/dashboard-updates-screen/", "label": "WordPress公式：更新画面" }, { "url": "https://wordpress.org/documentation/article/manage-plugins/", "label": "WordPress公式：プラグインの確認と更新" } ] } }, { "id": "CVE-2026-110015", "aliases": [], "title": "Salon Booking System：脆弱性情報", "summary": "Salon Booking Systemを使っている方が確認する情報です。製品名と版を確認し、提供元にこの番号への対応状況を問い合わせてください。公開された対象範囲を下に日本語で示しています。", "risk": "具体的な被害の種類を、取り込んだ情報から正確に整理できていません。製品を使っている場合は、CVE番号と利用中の版を添えて、影響と修正状況を提供元に確認してください。", "product": "Salon Booking System", "category": "wordpress", "component": "plugin", "severity": "high", "cvss": 8.8, "cvssVersion": "3.1", "cvssSource": "134c704f-9b21-4f2e-91b3-4a467353bcc0", "cvssVector": "CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H", "affected": [ { "product": "Salon Booking System", "range": "< 10.31.9" } ], "fixed": [], "steps": [ "「CVE-2026-110015」と現在の版を管理担当者・提供元へ伝え、この問題に対応した修正版が提供されているか確認します。下の問い合わせ文に記入すれば、そのまま依頼できます。対象範囲の上限から修正版の番号を推測しないでください。", "ファイルとデータベースのバックアップを取り、管理画面の「ダッシュボード」→「更新」で該当プラグインの更新を実行します。更新が表示されない有料製品などは、購入先・開発元の正規の配布経路を利用してください。" ], "references": [ { "url": "https://nvd.nist.gov/vuln/detail/CVE-2026-110015", "label": "NVDの原文" }, { "url": "https://wpscan.com/vulnerability/755ad5f7-44bb-45a9-9de2-f280586deaa3/", "label": "contact@wpscan.com" }, { "url": "https://www.first.org/cvss/v3.1/specification-document", "label": "FIRST公式：CVSS 3.1の条件の定義" }, { "url": "https://wordpress.org/documentation/article/plugins-screen/", "label": "WordPress公式：プラグイン一覧" }, { "url": "https://wordpress.org/documentation/article/site-health-screen/", "label": "WordPress公式：サイトヘルスの情報" }, { "url": "https://wordpress.org/documentation/article/updating-wordpress/", "label": "WordPress公式：本体の更新" }, { "url": "https://wordpress.org/documentation/article/dashboard-updates-screen/", "label": "WordPress公式：更新画面" }, { "url": "https://wordpress.org/documentation/article/manage-plugins/", "label": "WordPress公式：プラグインの確認と更新" } ], "publishedAt": "2026-10-16T07:17:10.470Z", "modifiedAt": "2026-10-16T15:17:09.097Z", "fetchedAt": "2026-10-22T22:09:30.689Z", "exploitStatus": "unknown", "sources": [ "NVD" ], "originalText": "The Salon Booking System WordPress plugin before 10.31.9 does not correctly verify the authenticity of REST API requests and discards WordPress core's nonce check for cookie-authenticated sessions across the whole REST API, allowing unauthenticated attackers who trick a logged-in administrator into clicking a crafted link to forge requests in that administrator's browser, up to creating a new administrator account.", "sourceTitle": "CVE-2026-110015", "summaryMethod": "公開データの対象範囲・CVSS条件を日本語化し、製品ごとの一般的な操作手順を補足しています。個別の全文翻訳・環境診断ではありません。", "state": "published", "affectedDetails": [ { "vendor": "Unknown", "product": "Salon Booking System", "defaultStatus": "unaffected", "versions": [ { "version": "0", "lessThan": "10.31.9", "versionType": "semver", "status": "affected" } ] } ], "sourceSnapshots": [ { "source": "NVD", "modifiedAt": "2026-10-16T15:17:09.097Z", "fetchedAt": "2026-10-22T22:09:30.689Z", "state": "published" } ], "sourceSummary": "Salon Booking Systemに脆弱性情報に関する脆弱性情報があります。影響を受ける条件を確認してください。", "sourceRisk": "影響と攻撃の成立条件は、リンク先の公式情報で確認してください。", "guidance": { "schemaVersion": "1.0", "method": "structured", "reviewedAt": null, "reviewState": "unreviewed", "summary": "Salon Booking Systemを使っている方が確認する情報です。製品名と版を確認し、提供元にこの番号への対応状況を問い合わせてください。公開された対象範囲を下に日本語で示しています。", "risk": "具体的な被害の種類を、取り込んだ情報から正確に整理できていません。製品を使っている場合は、CVE番号と利用中の版を添えて、影響と修正状況を提供元に確認してください。", "applicability": [ { "text": "最初に「Salon Booking System」を使っているか、開発元・製品名・バージョンを確認します。同じカテゴリの製品を使っているだけでは、この問題の対象とは限りません。", "kind": "check", "sourceUrls": [ "https://nvd.nist.gov/vuln/detail/CVE-2026-110015", "https://wpscan.com/vulnerability/755ad5f7-44bb-45a9-9de2-f280586deaa3/" ] }, { "text": "公開データの対象範囲：Salon Booking System — 10.31.9未満。この範囲に加え、下に記載する権限・構成などの条件も照合してください。", "kind": "fact", "sourceUrls": [ "https://nvd.nist.gov/vuln/detail/CVE-2026-110015", "https://wpscan.com/vulnerability/755ad5f7-44bb-45a9-9de2-f280586deaa3/" ] }, { "text": "公表されたCVSS評価では、攻撃前に対象システムの権限を持っている必要はありません。他の構成・機能の条件まで不要という意味ではありません。", "kind": "fact", "sourceUrls": [ "https://nvd.nist.gov/vuln/detail/CVE-2026-110015", "https://wpscan.com/vulnerability/755ad5f7-44bb-45a9-9de2-f280586deaa3/", "https://www.first.org/cvss/v3.1/specification-document" ] }, { "text": "公表されたCVSS評価では、ネットワーク越しに攻撃が届く経路があります。あなたの環境がインターネットから到達可能かどうかは、公開設定を別に確認する必要があります。", "kind": "fact", "sourceUrls": [ "https://nvd.nist.gov/vuln/detail/CVE-2026-110015", "https://wpscan.com/vulnerability/755ad5f7-44bb-45a9-9de2-f280586deaa3/", "https://www.first.org/cvss/v3.1/specification-document" ] }, { "text": "公表されたCVSS評価では、攻撃者とは別の利用者の操作が必要です。どの画面・ファイル・操作が関係するかは、個別条件に記載された内容を照合してください。", "kind": "fact", "sourceUrls": [ "https://nvd.nist.gov/vuln/detail/CVE-2026-110015", "https://wpscan.com/vulnerability/755ad5f7-44bb-45a9-9de2-f280586deaa3/", "https://www.first.org/cvss/v3.1/specification-document" ] } ], "versionChecks": [ { "text": "WordPressの管理画面にログインし、「プラグイン」→「インストール済みプラグイン」を開きます。「Salon Booking System」と同じ製品名・開発元の項目を探し、表示されているバージョンを控えてください。停止中のプラグインも一覧に含めて確認します。", "kind": "procedure", "sourceUrls": [ "https://wordpress.org/documentation/article/plugins-screen/" ] }, { "text": "管理画面に入れない、または同じ名前の製品を判別できない場合は、下の問い合わせ文をサイトの制作会社・管理担当者に送ってください。名前が見つからないという理由だけで、安全とは判定しないでください。", "kind": "procedure", "sourceUrls": [ "https://wordpress.org/documentation/article/site-health-screen/", "https://wordpress.org/documentation/article/plugins-screen/" ] } ], "actions": [ { "text": "「CVE-2026-110015」と現在の版を管理担当者・提供元へ伝え、この問題に対応した修正版が提供されているか確認します。下の問い合わせ文に記入すれば、そのまま依頼できます。対象範囲の上限から修正版の番号を推測しないでください。", "kind": "procedure", "sourceUrls": [ "https://nvd.nist.gov/vuln/detail/CVE-2026-110015", "https://wpscan.com/vulnerability/755ad5f7-44bb-45a9-9de2-f280586deaa3/" ] }, { "text": "ファイルとデータベースのバックアップを取り、管理画面の「ダッシュボード」→「更新」で該当プラグインの更新を実行します。更新が表示されない有料製品などは、購入先・開発元の正規の配布経路を利用してください。", "kind": "procedure", "sourceUrls": [ "https://wordpress.org/documentation/article/updating-wordpress/", "https://wordpress.org/documentation/article/dashboard-updates-screen/", "https://wordpress.org/documentation/article/manage-plugins/" ] } ], "temporaryMitigations": [ { "text": "更新できない場合は、対象機能の停止や公開範囲の制限が使えるかを管理担当者と検討し、実施内容と更新予定日を記録してください。プラグインの「無効化」だけでこの脆弱性を防げるかは個別に確認が必要です。", "kind": "procedure", "sourceUrls": [ "https://wordpress.org/documentation/article/plugins-screen/", "https://nvd.nist.gov/vuln/detail/CVE-2026-110015", "https://wpscan.com/vulnerability/755ad5f7-44bb-45a9-9de2-f280586deaa3/" ] } ], "verification": [ { "text": "更新後に同じ管理画面を開き直してバージョンを記録します。修正対象の系列・版と一致するかを照合し、サイト表示、ログイン、フォームや購入など普段使う主要な操作も確認してください。更新ボタンを押しただけでは完了としないでください。", "kind": "procedure", "sourceUrls": [ "https://wordpress.org/documentation/article/updating-wordpress/", "https://wordpress.org/documentation/article/dashboard-updates-screen/" ] } ], "unknowns": [ "取り込んだ公開データには、修正済みと明記されたバージョン番号がありません。「修正されていない」と確定したわけではありません。下の問い合わせ文で、修正版の番号・提供場所・適用予定を確認できます。" ], "supportRequest": "件名：CVE-2026-110015（Salon Booking System）の影響と対応状況の確認\n\n利用中のサイト・機器・サービス：[記入してください]\n製品名・開発元：[記入してください]\n現在のバージョン・ビルド番号：[不明なら「不明」と記入]\n\nCVE-2026-110015について、次を教えてください。\n1. この環境は対象ですか。対象外の場合は、版・設定・機能などの判断理由を教えてください。\n2. 対象の場合、修正を含む版・パッケージ番号と、更新方法を教えてください。古い版に修正を取り込んでいる場合は、このCVEへの対応状況を教えてください。\n3. いつ対応できますか。再起動・停止時間・事前のバックアップや確認作業は必要ですか。\n4. すぐ更新できない場合、正式な回避策とその限界・副作用を教えてください。利用を続けてよい条件も知りたいです。\n5. 対応完了後、修正を確認できる版・設定・対応日時を連絡してください。\n\n確認している情報：https://zeijaku.ittrip.xyz/vulnerabilities/CVE-2026-110015", "sources": [ { "url": "https://nvd.nist.gov/vuln/detail/CVE-2026-110015", "label": "NVDの原文" }, { "url": "https://wpscan.com/vulnerability/755ad5f7-44bb-45a9-9de2-f280586deaa3/", "label": "contact@wpscan.com" }, { "url": "https://www.first.org/cvss/v3.1/specification-document", "label": "FIRST公式：CVSS 3.1の条件の定義" }, { "url": "https://wordpress.org/documentation/article/plugins-screen/", "label": "WordPress公式：プラグイン一覧" }, { "url": "https://wordpress.org/documentation/article/site-health-screen/", "label": "WordPress公式：サイトヘルスの情報" }, { "url": "https://wordpress.org/documentation/article/updating-wordpress/", "label": "WordPress公式：本体の更新" }, { "url": "https://wordpress.org/documentation/article/dashboard-updates-screen/", "label": "WordPress公式：更新画面" }, { "url": "https://wordpress.org/documentation/article/manage-plugins/", "label": "WordPress公式：プラグインの確認と更新" } ] } }, { "id": "CVE-2026-110014", "aliases": [], "title": "Salon Booking System：脆弱性情報", "summary": "Salon Booking Systemを使っている方が確認する情報です。製品名と版を確認し、提供元にこの番号への対応状況を問い合わせてください。公開された対象範囲を下に日本語で示しています。", "risk": "具体的な被害の種類を、取り込んだ情報から正確に整理できていません。製品を使っている場合は、CVE番号と利用中の版を添えて、影響と修正状況を提供元に確認してください。", "product": "Salon Booking System", "category": "wordpress", "component": "plugin", "severity": "medium", "cvss": 5.3, "cvssVersion": "3.1", "cvssSource": "134c704f-9b21-4f2e-91b3-4a467353bcc0", "cvssVector": "CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N", "affected": [ { "product": "Salon Booking System", "range": "< 10.31.9" } ], "fixed": [], "steps": [ "「CVE-2026-110014」と現在の版を管理担当者・提供元へ伝え、この問題に対応した修正版が提供されているか確認します。下の問い合わせ文に記入すれば、そのまま依頼できます。対象範囲の上限から修正版の番号を推測しないでください。", "ファイルとデータベースのバックアップを取り、管理画面の「ダッシュボード」→「更新」で該当プラグインの更新を実行します。更新が表示されない有料製品などは、購入先・開発元の正規の配布経路を利用してください。" ], "references": [ { "url": "https://nvd.nist.gov/vuln/detail/CVE-2026-110014", "label": "NVDの原文" }, { "url": "https://wpscan.com/vulnerability/91598659-022c-4e04-ad16-399e11081053/", "label": "contact@wpscan.com" }, { "url": "https://www.first.org/cvss/v3.1/specification-document", "label": "FIRST公式：CVSS 3.1の条件の定義" }, { "url": "https://wordpress.org/documentation/article/plugins-screen/", "label": "WordPress公式：プラグイン一覧" }, { "url": "https://wordpress.org/documentation/article/site-health-screen/", "label": "WordPress公式：サイトヘルスの情報" }, { "url": "https://wordpress.org/documentation/article/updating-wordpress/", "label": "WordPress公式：本体の更新" }, { "url": "https://wordpress.org/documentation/article/dashboard-updates-screen/", "label": "WordPress公式：更新画面" }, { "url": "https://wordpress.org/documentation/article/manage-plugins/", "label": "WordPress公式：プラグインの確認と更新" } ], "publishedAt": "2026-10-16T07:17:10.363Z", "modifiedAt": "2026-10-16T15:17:08.957Z", "fetchedAt": "2026-10-22T22:09:30.689Z", "exploitStatus": "unknown", "sources": [ "NVD" ], "originalText": "The Salon Booking System WordPress plugin before 10.31.9 does not properly check authorization before creating a booking and trusts a caller-supplied user identifier and booking status, allowing unauthenticated attackers to create bookings attributed to arbitrary users, overwrite those users' stored contact details, and mark bookings as paid or confirmed without any payment.", "sourceTitle": "CVE-2026-110014", "summaryMethod": "公開データの対象範囲・CVSS条件を日本語化し、製品ごとの一般的な操作手順を補足しています。個別の全文翻訳・環境診断ではありません。", "state": "published", "affectedDetails": [ { "vendor": "Unknown", "product": "Salon Booking System", "defaultStatus": "unaffected", "versions": [ { "version": "0", "lessThan": "10.31.9", "versionType": "semver", "status": "affected" } ] } ], "sourceSnapshots": [ { "source": "NVD", "modifiedAt": "2026-10-16T15:17:08.957Z", "fetchedAt": "2026-10-22T22:09:30.689Z", "state": "published" } ], "sourceSummary": "Salon Booking Systemに脆弱性情報に関する脆弱性情報があります。影響を受ける条件を確認してください。", "sourceRisk": "影響と攻撃の成立条件は、リンク先の公式情報で確認してください。", "guidance": { "schemaVersion": "1.0", "method": "structured", "reviewedAt": null, "reviewState": "unreviewed", "summary": "Salon Booking Systemを使っている方が確認する情報です。製品名と版を確認し、提供元にこの番号への対応状況を問い合わせてください。公開された対象範囲を下に日本語で示しています。", "risk": "具体的な被害の種類を、取り込んだ情報から正確に整理できていません。製品を使っている場合は、CVE番号と利用中の版を添えて、影響と修正状況を提供元に確認してください。", "applicability": [ { "text": "最初に「Salon Booking System」を使っているか、開発元・製品名・バージョンを確認します。同じカテゴリの製品を使っているだけでは、この問題の対象とは限りません。", "kind": "check", "sourceUrls": [ "https://nvd.nist.gov/vuln/detail/CVE-2026-110014", "https://wpscan.com/vulnerability/91598659-022c-4e04-ad16-399e11081053/" ] }, { "text": "公開データの対象範囲：Salon Booking System — 10.31.9未満。この範囲に加え、下に記載する権限・構成などの条件も照合してください。", "kind": "fact", "sourceUrls": [ "https://nvd.nist.gov/vuln/detail/CVE-2026-110014", "https://wpscan.com/vulnerability/91598659-022c-4e04-ad16-399e11081053/" ] }, { "text": "公表されたCVSS評価では、攻撃前に対象システムの権限を持っている必要はありません。他の構成・機能の条件まで不要という意味ではありません。", "kind": "fact", "sourceUrls": [ "https://nvd.nist.gov/vuln/detail/CVE-2026-110014", "https://wpscan.com/vulnerability/91598659-022c-4e04-ad16-399e11081053/", "https://www.first.org/cvss/v3.1/specification-document" ] }, { "text": "公表されたCVSS評価では、ネットワーク越しに攻撃が届く経路があります。あなたの環境がインターネットから到達可能かどうかは、公開設定を別に確認する必要があります。", "kind": "fact", "sourceUrls": [ "https://nvd.nist.gov/vuln/detail/CVE-2026-110014", "https://wpscan.com/vulnerability/91598659-022c-4e04-ad16-399e11081053/", "https://www.first.org/cvss/v3.1/specification-document" ] }, { "text": "公表されたCVSS評価では、攻撃者以外の利用者がリンクを開くなどの操作をしなくても、攻撃が成立し得ます。", "kind": "fact", "sourceUrls": [ "https://nvd.nist.gov/vuln/detail/CVE-2026-110014", "https://wpscan.com/vulnerability/91598659-022c-4e04-ad16-399e11081053/", "https://www.first.org/cvss/v3.1/specification-document" ] } ], "versionChecks": [ { "text": "WordPressの管理画面にログインし、「プラグイン」→「インストール済みプラグイン」を開きます。「Salon Booking System」と同じ製品名・開発元の項目を探し、表示されているバージョンを控えてください。停止中のプラグインも一覧に含めて確認します。", "kind": "procedure", "sourceUrls": [ "https://wordpress.org/documentation/article/plugins-screen/" ] }, { "text": "管理画面に入れない、または同じ名前の製品を判別できない場合は、下の問い合わせ文をサイトの制作会社・管理担当者に送ってください。名前が見つからないという理由だけで、安全とは判定しないでください。", "kind": "procedure", "sourceUrls": [ "https://wordpress.org/documentation/article/site-health-screen/", "https://wordpress.org/documentation/article/plugins-screen/" ] } ], "actions": [ { "text": "「CVE-2026-110014」と現在の版を管理担当者・提供元へ伝え、この問題に対応した修正版が提供されているか確認します。下の問い合わせ文に記入すれば、そのまま依頼できます。対象範囲の上限から修正版の番号を推測しないでください。", "kind": "procedure", "sourceUrls": [ "https://nvd.nist.gov/vuln/detail/CVE-2026-110014", "https://wpscan.com/vulnerability/91598659-022c-4e04-ad16-399e11081053/" ] }, { "text": "ファイルとデータベースのバックアップを取り、管理画面の「ダッシュボード」→「更新」で該当プラグインの更新を実行します。更新が表示されない有料製品などは、購入先・開発元の正規の配布経路を利用してください。", "kind": "procedure", "sourceUrls": [ "https://wordpress.org/documentation/article/updating-wordpress/", "https://wordpress.org/documentation/article/dashboard-updates-screen/", "https://wordpress.org/documentation/article/manage-plugins/" ] } ], "temporaryMitigations": [ { "text": "更新できない場合は、対象機能の停止や公開範囲の制限が使えるかを管理担当者と検討し、実施内容と更新予定日を記録してください。プラグインの「無効化」だけでこの脆弱性を防げるかは個別に確認が必要です。", "kind": "procedure", "sourceUrls": [ "https://wordpress.org/documentation/article/plugins-screen/", "https://nvd.nist.gov/vuln/detail/CVE-2026-110014", "https://wpscan.com/vulnerability/91598659-022c-4e04-ad16-399e11081053/" ] } ], "verification": [ { "text": "更新後に同じ管理画面を開き直してバージョンを記録します。修正対象の系列・版と一致するかを照合し、サイト表示、ログイン、フォームや購入など普段使う主要な操作も確認してください。更新ボタンを押しただけでは完了としないでください。", "kind": "procedure", "sourceUrls": [ "https://wordpress.org/documentation/article/updating-wordpress/", "https://wordpress.org/documentation/article/dashboard-updates-screen/" ] } ], "unknowns": [ "取り込んだ公開データには、修正済みと明記されたバージョン番号がありません。「修正されていない」と確定したわけではありません。下の問い合わせ文で、修正版の番号・提供場所・適用予定を確認できます。" ], "supportRequest": "件名：CVE-2026-110014（Salon Booking System）の影響と対応状況の確認\n\n利用中のサイト・機器・サービス：[記入してください]\n製品名・開発元：[記入してください]\n現在のバージョン・ビルド番号：[不明なら「不明」と記入]\n\nCVE-2026-110014について、次を教えてください。\n1. この環境は対象ですか。対象外の場合は、版・設定・機能などの判断理由を教えてください。\n2. 対象の場合、修正を含む版・パッケージ番号と、更新方法を教えてください。古い版に修正を取り込んでいる場合は、このCVEへの対応状況を教えてください。\n3. いつ対応できますか。再起動・停止時間・事前のバックアップや確認作業は必要ですか。\n4. すぐ更新できない場合、正式な回避策とその限界・副作用を教えてください。利用を続けてよい条件も知りたいです。\n5. 対応完了後、修正を確認できる版・設定・対応日時を連絡してください。\n\n確認している情報：https://zeijaku.ittrip.xyz/vulnerabilities/CVE-2026-110014", "sources": [ { "url": "https://nvd.nist.gov/vuln/detail/CVE-2026-110014", "label": "NVDの原文" }, { "url": "https://wpscan.com/vulnerability/91598659-022c-4e04-ad16-399e11081053/", "label": "contact@wpscan.com" }, { "url": "https://www.first.org/cvss/v3.1/specification-document", "label": "FIRST公式：CVSS 3.1の条件の定義" }, { "url": "https://wordpress.org/documentation/article/plugins-screen/", "label": "WordPress公式：プラグイン一覧" }, { "url": "https://wordpress.org/documentation/article/site-health-screen/", "label": "WordPress公式：サイトヘルスの情報" }, { "url": "https://wordpress.org/documentation/article/updating-wordpress/", "label": "WordPress公式：本体の更新" }, { "url": "https://wordpress.org/documentation/article/dashboard-updates-screen/", "label": "WordPress公式：更新画面" }, { "url": "https://wordpress.org/documentation/article/manage-plugins/", "label": "WordPress公式：プラグインの確認と更新" } ] } }, { "id": "CVE-2026-110013", "aliases": [], "title": "Salon Booking System：脆弱性情報", "summary": "Salon Booking Systemを使っている方が確認する情報です。製品名と版を確認し、提供元にこの番号への対応状況を問い合わせてください。公開された対象範囲を下に日本語で示しています。", "risk": "具体的な被害の種類を、取り込んだ情報から正確に整理できていません。製品を使っている場合は、CVE番号と利用中の版を添えて、影響と修正状況を提供元に確認してください。", "product": "Salon Booking System", "category": "wordpress", "component": "plugin", "severity": "medium", "cvss": 4.8, "cvssVersion": "3.1", "cvssSource": "134c704f-9b21-4f2e-91b3-4a467353bcc0", "cvssVector": "CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:L/A:N", "affected": [ { "product": "Salon Booking System", "range": "< 10.31.9" } ], "fixed": [], "steps": [ "「CVE-2026-110013」と現在の版を管理担当者・提供元へ伝え、この問題に対応した修正版が提供されているか確認します。下の問い合わせ文に記入すれば、そのまま依頼できます。対象範囲の上限から修正版の番号を推測しないでください。", "ファイルとデータベースのバックアップを取り、管理画面の「ダッシュボード」→「更新」で該当プラグインの更新を実行します。更新が表示されない有料製品などは、購入先・開発元の正規の配布経路を利用してください。" ], "references": [ { "url": "https://nvd.nist.gov/vuln/detail/CVE-2026-110013", "label": "NVDの原文" }, { "url": "https://wpscan.com/vulnerability/613ddaa0-a44f-4dd7-b679-ba1319e15ca1/", "label": "contact@wpscan.com" }, { "url": "https://www.first.org/cvss/v3.1/specification-document", "label": "FIRST公式：CVSS 3.1の条件の定義" }, { "url": "https://wordpress.org/documentation/article/plugins-screen/", "label": "WordPress公式：プラグイン一覧" }, { "url": "https://wordpress.org/documentation/article/site-health-screen/", "label": "WordPress公式：サイトヘルスの情報" }, { "url": "https://wordpress.org/documentation/article/updating-wordpress/", "label": "WordPress公式：本体の更新" }, { "url": "https://wordpress.org/documentation/article/dashboard-updates-screen/", "label": "WordPress公式：更新画面" }, { "url": "https://wordpress.org/documentation/article/manage-plugins/", "label": "WordPress公式：プラグインの確認と更新" } ], "publishedAt": "2026-10-16T07:17:10.253Z", "modifiedAt": "2026-10-16T15:17:08.820Z", "fetchedAt": "2026-10-22T22:09:30.689Z", "exploitStatus": "unknown", "sources": [ "NVD" ], "originalText": "The Salon Booking System WordPress plugin before 10.31.9 does not generate its booking-API access tokens from a secure random source, instead deriving them from a value hardcoded in the Salon Booking System WordPress plugin before 10.31.9 and the second at which a token was issued. An attacker able to constrain when a staff or administrator token was issued can compute a valid token and access the booking API as that user, including an administrator.", "sourceTitle": "CVE-2026-110013", "summaryMethod": "公開データの対象範囲・CVSS条件を日本語化し、製品ごとの一般的な操作手順を補足しています。個別の全文翻訳・環境診断ではありません。", "state": "published", "affectedDetails": [ { "vendor": "Unknown", "product": "Salon Booking System", "defaultStatus": "unaffected", "versions": [ { "version": "0", "lessThan": "10.31.9", "versionType": "semver", "status": "affected" } ] } ], "sourceSnapshots": [ { "source": "NVD", "modifiedAt": "2026-10-16T15:17:08.820Z", "fetchedAt": "2026-10-22T22:09:30.689Z", "state": "published" } ], "sourceSummary": "Salon Booking Systemに脆弱性情報に関する脆弱性情報があります。影響を受ける条件を確認してください。", "sourceRisk": "影響と攻撃の成立条件は、リンク先の公式情報で確認してください。", "guidance": { "schemaVersion": "1.0", "method": "structured", "reviewedAt": null, "reviewState": "unreviewed", "summary": "Salon Booking Systemを使っている方が確認する情報です。製品名と版を確認し、提供元にこの番号への対応状況を問い合わせてください。公開された対象範囲を下に日本語で示しています。", "risk": "具体的な被害の種類を、取り込んだ情報から正確に整理できていません。製品を使っている場合は、CVE番号と利用中の版を添えて、影響と修正状況を提供元に確認してください。", "applicability": [ { "text": "最初に「Salon Booking System」を使っているか、開発元・製品名・バージョンを確認します。同じカテゴリの製品を使っているだけでは、この問題の対象とは限りません。", "kind": "check", "sourceUrls": [ "https://nvd.nist.gov/vuln/detail/CVE-2026-110013", "https://wpscan.com/vulnerability/613ddaa0-a44f-4dd7-b679-ba1319e15ca1/" ] }, { "text": "公開データの対象範囲：Salon Booking System — 10.31.9未満。この範囲に加え、下に記載する権限・構成などの条件も照合してください。", "kind": "fact", "sourceUrls": [ "https://nvd.nist.gov/vuln/detail/CVE-2026-110013", "https://wpscan.com/vulnerability/613ddaa0-a44f-4dd7-b679-ba1319e15ca1/" ] }, { "text": "公表されたCVSS評価では、攻撃前に対象システムの権限を持っている必要はありません。他の構成・機能の条件まで不要という意味ではありません。", "kind": "fact", "sourceUrls": [ "https://nvd.nist.gov/vuln/detail/CVE-2026-110013", "https://wpscan.com/vulnerability/613ddaa0-a44f-4dd7-b679-ba1319e15ca1/", "https://www.first.org/cvss/v3.1/specification-document" ] }, { "text": "公表されたCVSS評価では、ネットワーク越しに攻撃が届く経路があります。あなたの環境がインターネットから到達可能かどうかは、公開設定を別に確認する必要があります。", "kind": "fact", "sourceUrls": [ "https://nvd.nist.gov/vuln/detail/CVE-2026-110013", "https://wpscan.com/vulnerability/613ddaa0-a44f-4dd7-b679-ba1319e15ca1/", "https://www.first.org/cvss/v3.1/specification-document" ] }, { "text": "公表されたCVSS評価では、攻撃者以外の利用者がリンクを開くなどの操作をしなくても、攻撃が成立し得ます。", "kind": "fact", "sourceUrls": [ "https://nvd.nist.gov/vuln/detail/CVE-2026-110013", "https://wpscan.com/vulnerability/613ddaa0-a44f-4dd7-b679-ba1319e15ca1/", "https://www.first.org/cvss/v3.1/specification-document" ] } ], "versionChecks": [ { "text": "WordPressの管理画面にログインし、「プラグイン」→「インストール済みプラグイン」を開きます。「Salon Booking System」と同じ製品名・開発元の項目を探し、表示されているバージョンを控えてください。停止中のプラグインも一覧に含めて確認します。", "kind": "procedure", "sourceUrls": [ "https://wordpress.org/documentation/article/plugins-screen/" ] }, { "text": "管理画面に入れない、または同じ名前の製品を判別できない場合は、下の問い合わせ文をサイトの制作会社・管理担当者に送ってください。名前が見つからないという理由だけで、安全とは判定しないでください。", "kind": "procedure", "sourceUrls": [ "https://wordpress.org/documentation/article/site-health-screen/", "https://wordpress.org/documentation/article/plugins-screen/" ] } ], "actions": [ { "text": "「CVE-2026-110013」と現在の版を管理担当者・提供元へ伝え、この問題に対応した修正版が提供されているか確認します。下の問い合わせ文に記入すれば、そのまま依頼できます。対象範囲の上限から修正版の番号を推測しないでください。", "kind": "procedure", "sourceUrls": [ "https://nvd.nist.gov/vuln/detail/CVE-2026-110013", "https://wpscan.com/vulnerability/613ddaa0-a44f-4dd7-b679-ba1319e15ca1/" ] }, { "text": "ファイルとデータベースのバックアップを取り、管理画面の「ダッシュボード」→「更新」で該当プラグインの更新を実行します。更新が表示されない有料製品などは、購入先・開発元の正規の配布経路を利用してください。", "kind": "procedure", "sourceUrls": [ "https://wordpress.org/documentation/article/updating-wordpress/", "https://wordpress.org/documentation/article/dashboard-updates-screen/", "https://wordpress.org/documentation/article/manage-plugins/" ] } ], "temporaryMitigations": [ { "text": "更新できない場合は、対象機能の停止や公開範囲の制限が使えるかを管理担当者と検討し、実施内容と更新予定日を記録してください。プラグインの「無効化」だけでこの脆弱性を防げるかは個別に確認が必要です。", "kind": "procedure", "sourceUrls": [ "https://wordpress.org/documentation/article/plugins-screen/", "https://nvd.nist.gov/vuln/detail/CVE-2026-110013", "https://wpscan.com/vulnerability/613ddaa0-a44f-4dd7-b679-ba1319e15ca1/" ] } ], "verification": [ { "text": "更新後に同じ管理画面を開き直してバージョンを記録します。修正対象の系列・版と一致するかを照合し、サイト表示、ログイン、フォームや購入など普段使う主要な操作も確認してください。更新ボタンを押しただけでは完了としないでください。", "kind": "procedure", "sourceUrls": [ "https://wordpress.org/documentation/article/updating-wordpress/", "https://wordpress.org/documentation/article/dashboard-updates-screen/" ] } ], "unknowns": [ "取り込んだ公開データには、修正済みと明記されたバージョン番号がありません。「修正されていない」と確定したわけではありません。下の問い合わせ文で、修正版の番号・提供場所・適用予定を確認できます。" ], "supportRequest": "件名：CVE-2026-110013（Salon Booking System）の影響と対応状況の確認\n\n利用中のサイト・機器・サービス：[記入してください]\n製品名・開発元：[記入してください]\n現在のバージョン・ビルド番号：[不明なら「不明」と記入]\n\nCVE-2026-110013について、次を教えてください。\n1. この環境は対象ですか。対象外の場合は、版・設定・機能などの判断理由を教えてください。\n2. 対象の場合、修正を含む版・パッケージ番号と、更新方法を教えてください。古い版に修正を取り込んでいる場合は、このCVEへの対応状況を教えてください。\n3. いつ対応できますか。再起動・停止時間・事前のバックアップや確認作業は必要ですか。\n4. すぐ更新できない場合、正式な回避策とその限界・副作用を教えてください。利用を続けてよい条件も知りたいです。\n5. 対応完了後、修正を確認できる版・設定・対応日時を連絡してください。\n\n確認している情報：https://zeijaku.ittrip.xyz/vulnerabilities/CVE-2026-110013", "sources": [ { "url": "https://nvd.nist.gov/vuln/detail/CVE-2026-110013", "label": "NVDの原文" }, { "url": "https://wpscan.com/vulnerability/613ddaa0-a44f-4dd7-b679-ba1319e15ca1/", "label": "contact@wpscan.com" }, { "url": "https://www.first.org/cvss/v3.1/specification-document", "label": "FIRST公式：CVSS 3.1の条件の定義" }, { "url": "https://wordpress.org/documentation/article/plugins-screen/", "label": "WordPress公式：プラグイン一覧" }, { "url": "https://wordpress.org/documentation/article/site-health-screen/", "label": "WordPress公式：サイトヘルスの情報" }, { "url": "https://wordpress.org/documentation/article/updating-wordpress/", "label": "WordPress公式：本体の更新" }, { "url": "https://wordpress.org/documentation/article/dashboard-updates-screen/", "label": "WordPress公式：更新画面" }, { "url": "https://wordpress.org/documentation/article/manage-plugins/", "label": "WordPress公式：プラグインの確認と更新" } ] } }, { "id": "CVE-2026-110012", "aliases": [], "title": "Salon Booking System：脆弱性情報", "summary": "Salon Booking Systemを使っている方が確認する情報です。製品名と版を確認し、提供元にこの番号への対応状況を問い合わせてください。公開された対象範囲を下に日本語で示しています。", "risk": "具体的な被害の種類を、取り込んだ情報から正確に整理できていません。製品を使っている場合は、CVE番号と利用中の版を添えて、影響と修正状況を提供元に確認してください。", "product": "Salon Booking System", "category": "wordpress", "component": "plugin", "severity": "medium", "cvss": 4.3, "cvssVersion": "3.1", "cvssSource": "134c704f-9b21-4f2e-91b3-4a467353bcc0", "cvssVector": "CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N", "affected": [ { "product": "Salon Booking System", "range": "< 10.31.3" } ], "fixed": [], "steps": [ "「CVE-2026-110012」と現在の版を管理担当者・提供元へ伝え、この問題に対応した修正版が提供されているか確認します。下の問い合わせ文に記入すれば、そのまま依頼できます。対象範囲の上限から修正版の番号を推測しないでください。", "ファイルとデータベースのバックアップを取り、管理画面の「ダッシュボード」→「更新」で該当プラグインの更新を実行します。更新が表示されない有料製品などは、購入先・開発元の正規の配布経路を利用してください。" ], "references": [ { "url": "https://nvd.nist.gov/vuln/detail/CVE-2026-110012", "label": "NVDの原文" }, { "url": "https://wpscan.com/vulnerability/7253eae4-4759-4388-8120-500b9d7352c4/", "label": "contact@wpscan.com" }, { "url": "https://www.first.org/cvss/v3.1/specification-document", "label": "FIRST公式：CVSS 3.1の条件の定義" }, { "url": "https://wordpress.org/documentation/article/plugins-screen/", "label": "WordPress公式：プラグイン一覧" }, { "url": "https://wordpress.org/documentation/article/site-health-screen/", "label": "WordPress公式：サイトヘルスの情報" }, { "url": "https://wordpress.org/documentation/article/updating-wordpress/", "label": "WordPress公式：本体の更新" }, { "url": "https://wordpress.org/documentation/article/dashboard-updates-screen/", "label": "WordPress公式：更新画面" }, { "url": "https://wordpress.org/documentation/article/manage-plugins/", "label": "WordPress公式：プラグインの確認と更新" } ], "publishedAt": "2026-10-16T07:17:10.140Z", "modifiedAt": "2026-10-16T15:17:08.673Z", "fetchedAt": "2026-10-22T22:09:30.689Z", "exploitStatus": "unknown", "sources": [ "NVD" ], "originalText": "The Salon Booking System WordPress plugin before 10.31.3 does not restrict several of its booking REST API routes to users with the appropriate capability, allowing any authenticated user such as a subscriber to read every customer's booking records, including their personal data.", "sourceTitle": "CVE-2026-110012", "summaryMethod": "公開データの対象範囲・CVSS条件を日本語化し、製品ごとの一般的な操作手順を補足しています。個別の全文翻訳・環境診断ではありません。", "state": "published", "affectedDetails": [ { "vendor": "Unknown", "product": "Salon Booking System", "defaultStatus": "unaffected", "versions": [ { "version": "0", "lessThan": "10.31.3", "versionType": "semver", "status": "affected" } ] } ], "sourceSnapshots": [ { "source": "NVD", "modifiedAt": "2026-10-16T15:17:08.673Z", "fetchedAt": "2026-10-22T22:09:30.689Z", "state": "published" } ], "sourceSummary": "Salon Booking Systemに脆弱性情報に関する脆弱性情報があります。影響を受ける条件を確認してください。", "sourceRisk": "影響と攻撃の成立条件は、リンク先の公式情報で確認してください。", "guidance": { "schemaVersion": "1.0", "method": "structured", "reviewedAt": null, "reviewState": "unreviewed", "summary": "Salon Booking Systemを使っている方が確認する情報です。製品名と版を確認し、提供元にこの番号への対応状況を問い合わせてください。公開された対象範囲を下に日本語で示しています。", "risk": "具体的な被害の種類を、取り込んだ情報から正確に整理できていません。製品を使っている場合は、CVE番号と利用中の版を添えて、影響と修正状況を提供元に確認してください。", "applicability": [ { "text": "最初に「Salon Booking System」を使っているか、開発元・製品名・バージョンを確認します。同じカテゴリの製品を使っているだけでは、この問題の対象とは限りません。", "kind": "check", "sourceUrls": [ "https://nvd.nist.gov/vuln/detail/CVE-2026-110012", "https://wpscan.com/vulnerability/7253eae4-4759-4388-8120-500b9d7352c4/" ] }, { "text": "公開データの対象範囲：Salon Booking System — 10.31.3未満。この範囲に加え、下に記載する権限・構成などの条件も照合してください。", "kind": "fact", "sourceUrls": [ "https://nvd.nist.gov/vuln/detail/CVE-2026-110012", "https://wpscan.com/vulnerability/7253eae4-4759-4388-8120-500b9d7352c4/" ] }, { "text": "公表されたCVSS評価では、攻撃者は事前に一般利用者程度の権限を持つ必要があります。WordPressの「購読者」「投稿者」などの具体的な役割は、この値だけでは分かりません。", "kind": "fact", "sourceUrls": [ "https://nvd.nist.gov/vuln/detail/CVE-2026-110012", "https://wpscan.com/vulnerability/7253eae4-4759-4388-8120-500b9d7352c4/", "https://www.first.org/cvss/v3.1/specification-document" ] }, { "text": "公表されたCVSS評価では、ネットワーク越しに攻撃が届く経路があります。あなたの環境がインターネットから到達可能かどうかは、公開設定を別に確認する必要があります。", "kind": "fact", "sourceUrls": [ "https://nvd.nist.gov/vuln/detail/CVE-2026-110012", "https://wpscan.com/vulnerability/7253eae4-4759-4388-8120-500b9d7352c4/", "https://www.first.org/cvss/v3.1/specification-document" ] }, { "text": "公表されたCVSS評価では、攻撃者以外の利用者がリンクを開くなどの操作をしなくても、攻撃が成立し得ます。", "kind": "fact", "sourceUrls": [ "https://nvd.nist.gov/vuln/detail/CVE-2026-110012", "https://wpscan.com/vulnerability/7253eae4-4759-4388-8120-500b9d7352c4/", "https://www.first.org/cvss/v3.1/specification-document" ] } ], "versionChecks": [ { "text": "WordPressの管理画面にログインし、「プラグイン」→「インストール済みプラグイン」を開きます。「Salon Booking System」と同じ製品名・開発元の項目を探し、表示されているバージョンを控えてください。停止中のプラグインも一覧に含めて確認します。", "kind": "procedure", "sourceUrls": [ "https://wordpress.org/documentation/article/plugins-screen/" ] }, { "text": "管理画面に入れない、または同じ名前の製品を判別できない場合は、下の問い合わせ文をサイトの制作会社・管理担当者に送ってください。名前が見つからないという理由だけで、安全とは判定しないでください。", "kind": "procedure", "sourceUrls": [ "https://wordpress.org/documentation/article/site-health-screen/", "https://wordpress.org/documentation/article/plugins-screen/" ] } ], "actions": [ { "text": "「CVE-2026-110012」と現在の版を管理担当者・提供元へ伝え、この問題に対応した修正版が提供されているか確認します。下の問い合わせ文に記入すれば、そのまま依頼できます。対象範囲の上限から修正版の番号を推測しないでください。", "kind": "procedure", "sourceUrls": [ "https://nvd.nist.gov/vuln/detail/CVE-2026-110012", "https://wpscan.com/vulnerability/7253eae4-4759-4388-8120-500b9d7352c4/" ] }, { "text": "ファイルとデータベースのバックアップを取り、管理画面の「ダッシュボード」→「更新」で該当プラグインの更新を実行します。更新が表示されない有料製品などは、購入先・開発元の正規の配布経路を利用してください。", "kind": "procedure", "sourceUrls": [ "https://wordpress.org/documentation/article/updating-wordpress/", "https://wordpress.org/documentation/article/dashboard-updates-screen/", "https://wordpress.org/documentation/article/manage-plugins/" ] } ], "temporaryMitigations": [ { "text": "更新できない場合は、対象機能の停止や公開範囲の制限が使えるかを管理担当者と検討し、実施内容と更新予定日を記録してください。プラグインの「無効化」だけでこの脆弱性を防げるかは個別に確認が必要です。", "kind": "procedure", "sourceUrls": [ "https://wordpress.org/documentation/article/plugins-screen/", "https://nvd.nist.gov/vuln/detail/CVE-2026-110012", "https://wpscan.com/vulnerability/7253eae4-4759-4388-8120-500b9d7352c4/" ] } ], "verification": [ { "text": "更新後に同じ管理画面を開き直してバージョンを記録します。修正対象の系列・版と一致するかを照合し、サイト表示、ログイン、フォームや購入など普段使う主要な操作も確認してください。更新ボタンを押しただけでは完了としないでください。", "kind": "procedure", "sourceUrls": [ "https://wordpress.org/documentation/article/updating-wordpress/", "https://wordpress.org/documentation/article/dashboard-updates-screen/" ] } ], "unknowns": [ "取り込んだ公開データには、修正済みと明記されたバージョン番号がありません。「修正されていない」と確定したわけではありません。下の問い合わせ文で、修正版の番号・提供場所・適用予定を確認できます。" ], "supportRequest": "件名：CVE-2026-110012（Salon Booking System）の影響と対応状況の確認\n\n利用中のサイト・機器・サービス：[記入してください]\n製品名・開発元：[記入してください]\n現在のバージョン・ビルド番号：[不明なら「不明」と記入]\n\nCVE-2026-110012について、次を教えてください。\n1. この環境は対象ですか。対象外の場合は、版・設定・機能などの判断理由を教えてください。\n2. 対象の場合、修正を含む版・パッケージ番号と、更新方法を教えてください。古い版に修正を取り込んでいる場合は、このCVEへの対応状況を教えてください。\n3. いつ対応できますか。再起動・停止時間・事前のバックアップや確認作業は必要ですか。\n4. すぐ更新できない場合、正式な回避策とその限界・副作用を教えてください。利用を続けてよい条件も知りたいです。\n5. 対応完了後、修正を確認できる版・設定・対応日時を連絡してください。\n\n確認している情報：https://zeijaku.ittrip.xyz/vulnerabilities/CVE-2026-110012", "sources": [ { "url": "https://nvd.nist.gov/vuln/detail/CVE-2026-110012", "label": "NVDの原文" }, { "url": "https://wpscan.com/vulnerability/7253eae4-4759-4388-8120-500b9d7352c4/", "label": "contact@wpscan.com" }, { "url": "https://www.first.org/cvss/v3.1/specification-document", "label": "FIRST公式：CVSS 3.1の条件の定義" }, { "url": "https://wordpress.org/documentation/article/plugins-screen/", "label": "WordPress公式：プラグイン一覧" }, { "url": "https://wordpress.org/documentation/article/site-health-screen/", "label": "WordPress公式：サイトヘルスの情報" }, { "url": "https://wordpress.org/documentation/article/updating-wordpress/", "label": "WordPress公式：本体の更新" }, { "url": "https://wordpress.org/documentation/article/dashboard-updates-screen/", "label": "WordPress公式：更新画面" }, { "url": "https://wordpress.org/documentation/article/manage-plugins/", "label": "WordPress公式：プラグインの確認と更新" } ] } }, { "id": "CVE-2026-109982", "aliases": [], "title": "MB Custom Post Types & Custom Taxonomies：脆弱性情報", "summary": "MB Custom Post Types & Custom Taxonomiesを使っている方が確認する情報です。製品名と版を確認し、提供元にこの番号への対応状況を問い合わせてください。公開された対象範囲を下に日本語で示しています。", "risk": "具体的な被害の種類を、取り込んだ情報から正確に整理できていません。製品を使っている場合は、CVE番号と利用中の版を添えて、影響と修正状況を提供元に確認してください。", "product": "MB Custom Post Types & Custom Taxonomies", "category": "wordpress", "component": "plugin", "severity": "medium", "cvss": 4.2, "cvssVersion": "3.1", "cvssSource": "134c704f-9b21-4f2e-91b3-4a467353bcc0", "cvssVector": "CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:N/I:L/A:L", "affected": [ { "product": "MB Custom Post Types & Custom Taxonomies", "range": "< 2.12.2" } ], "fixed": [], "steps": [ "「CVE-2026-109982」と現在の版を管理担当者・提供元へ伝え、この問題に対応した修正版が提供されているか確認します。下の問い合わせ文に記入すれば、そのまま依頼できます。対象範囲の上限から修正版の番号を推測しないでください。", "ファイルとデータベースのバックアップを取り、管理画面の「ダッシュボード」→「更新」で該当プラグインの更新を実行します。更新が表示されない有料製品などは、購入先・開発元の正規の配布経路を利用してください。" ], "references": [ { "url": "https://nvd.nist.gov/vuln/detail/CVE-2026-109982", "label": "NVDの原文" }, { "url": "https://wpscan.com/vulnerability/27787d4e-1633-4eb6-bcf4-0a8586df3d47/", "label": "contact@wpscan.com" }, { "url": "https://www.first.org/cvss/v3.1/specification-document", "label": "FIRST公式：CVSS 3.1の条件の定義" }, { "url": "https://wordpress.org/documentation/article/plugins-screen/", "label": "WordPress公式：プラグイン一覧" }, { "url": "https://wordpress.org/documentation/article/site-health-screen/", "label": "WordPress公式：サイトヘルスの情報" }, { "url": "https://wordpress.org/documentation/article/updating-wordpress/", "label": "WordPress公式：本体の更新" }, { "url": "https://wordpress.org/documentation/article/dashboard-updates-screen/", "label": "WordPress公式：更新画面" }, { "url": "https://wordpress.org/documentation/article/manage-plugins/", "label": "WordPress公式：プラグインの確認と更新" } ], "publishedAt": "2026-10-16T07:17:10.030Z", "modifiedAt": "2026-10-16T15:17:08.307Z", "fetchedAt": "2026-10-22T22:09:30.689Z", "exploitStatus": "unknown", "sources": [ "NVD" ], "originalText": "The MB Custom Post Types & Custom Taxonomies WordPress plugin before 2.12.2 does not perform a capability check or validate a nonce on its migration actions, allowing any authenticated user, such as a subscriber, to trigger a one-way migration that creates published records and permanently deletes a companion MB Custom Post Types & Custom Taxonomies WordPress plugin before 2.12.2's entire post-type and taxonomy configuration.", "sourceTitle": "CVE-2026-109982", "summaryMethod": "公開データの対象範囲・CVSS条件を日本語化し、製品ごとの一般的な操作手順を補足しています。個別の全文翻訳・環境診断ではありません。", "state": "published", "affectedDetails": [ { "vendor": "Unknown", "product": "MB Custom Post Types & Custom Taxonomies", "defaultStatus": "unaffected", "versions": [ { "version": "0", "lessThan": "2.12.2", "versionType": "semver", "status": "affected" } ] } ], "sourceSnapshots": [ { "source": "NVD", "modifiedAt": "2026-10-16T15:17:08.307Z", "fetchedAt": "2026-10-22T22:09:30.689Z", "state": "published" } ], "sourceSummary": "MB Custom Post Types & Custom Taxonomiesに脆弱性情報に関する脆弱性情報があります。影響を受ける条件を確認してください。", "sourceRisk": "影響と攻撃の成立条件は、リンク先の公式情報で確認してください。", "guidance": { "schemaVersion": "1.0", "method": "structured", "reviewedAt": null, "reviewState": "unreviewed", "summary": "MB Custom Post Types & Custom Taxonomiesを使っている方が確認する情報です。製品名と版を確認し、提供元にこの番号への対応状況を問い合わせてください。公開された対象範囲を下に日本語で示しています。", "risk": "具体的な被害の種類を、取り込んだ情報から正確に整理できていません。製品を使っている場合は、CVE番号と利用中の版を添えて、影響と修正状況を提供元に確認してください。", "applicability": [ { "text": "最初に「MB Custom Post Types & Custom Taxonomies」を使っているか、開発元・製品名・バージョンを確認します。同じカテゴリの製品を使っているだけでは、この問題の対象とは限りません。", "kind": "check", "sourceUrls": [ "https://nvd.nist.gov/vuln/detail/CVE-2026-109982", "https://wpscan.com/vulnerability/27787d4e-1633-4eb6-bcf4-0a8586df3d47/" ] }, { "text": "公開データの対象範囲：MB Custom Post Types & Custom Taxonomies — 2.12.2未満。この範囲に加え、下に記載する権限・構成などの条件も照合してください。", "kind": "fact", "sourceUrls": [ "https://nvd.nist.gov/vuln/detail/CVE-2026-109982", "https://wpscan.com/vulnerability/27787d4e-1633-4eb6-bcf4-0a8586df3d47/" ] }, { "text": "公表されたCVSS評価では、攻撃者は事前に一般利用者程度の権限を持つ必要があります。WordPressの「購読者」「投稿者」などの具体的な役割は、この値だけでは分かりません。", "kind": "fact", "sourceUrls": [ "https://nvd.nist.gov/vuln/detail/CVE-2026-109982", "https://wpscan.com/vulnerability/27787d4e-1633-4eb6-bcf4-0a8586df3d47/", "https://www.first.org/cvss/v3.1/specification-document" ] }, { "text": "公表されたCVSS評価では、ネットワーク越しに攻撃が届く経路があります。あなたの環境がインターネットから到達可能かどうかは、公開設定を別に確認する必要があります。", "kind": "fact", "sourceUrls": [ "https://nvd.nist.gov/vuln/detail/CVE-2026-109982", "https://wpscan.com/vulnerability/27787d4e-1633-4eb6-bcf4-0a8586df3d47/", "https://www.first.org/cvss/v3.1/specification-document" ] }, { "text": "公表されたCVSS評価では、攻撃者以外の利用者がリンクを開くなどの操作をしなくても、攻撃が成立し得ます。", "kind": "fact", "sourceUrls": [ "https://nvd.nist.gov/vuln/detail/CVE-2026-109982", "https://wpscan.com/vulnerability/27787d4e-1633-4eb6-bcf4-0a8586df3d47/", "https://www.first.org/cvss/v3.1/specification-document" ] } ], "versionChecks": [ { "text": "WordPressの管理画面にログインし、「プラグイン」→「インストール済みプラグイン」を開きます。「MB Custom Post Types & Custom Taxonomies」と同じ製品名・開発元の項目を探し、表示されているバージョンを控えてください。停止中のプラグインも一覧に含めて確認します。", "kind": "procedure", "sourceUrls": [ "https://wordpress.org/documentation/article/plugins-screen/" ] }, { "text": "管理画面に入れない、または同じ名前の製品を判別できない場合は、下の問い合わせ文をサイトの制作会社・管理担当者に送ってください。名前が見つからないという理由だけで、安全とは判定しないでください。", "kind": "procedure", "sourceUrls": [ "https://wordpress.org/documentation/article/site-health-screen/", "https://wordpress.org/documentation/article/plugins-screen/" ] } ], "actions": [ { "text": "「CVE-2026-109982」と現在の版を管理担当者・提供元へ伝え、この問題に対応した修正版が提供されているか確認します。下の問い合わせ文に記入すれば、そのまま依頼できます。対象範囲の上限から修正版の番号を推測しないでください。", "kind": "procedure", "sourceUrls": [ "https://nvd.nist.gov/vuln/detail/CVE-2026-109982", "https://wpscan.com/vulnerability/27787d4e-1633-4eb6-bcf4-0a8586df3d47/" ] }, { "text": "ファイルとデータベースのバックアップを取り、管理画面の「ダッシュボード」→「更新」で該当プラグインの更新を実行します。更新が表示されない有料製品などは、購入先・開発元の正規の配布経路を利用してください。", "kind": "procedure", "sourceUrls": [ "https://wordpress.org/documentation/article/updating-wordpress/", "https://wordpress.org/documentation/article/dashboard-updates-screen/", "https://wordpress.org/documentation/article/manage-plugins/" ] } ], "temporaryMitigations": [ { "text": "更新できない場合は、対象機能の停止や公開範囲の制限が使えるかを管理担当者と検討し、実施内容と更新予定日を記録してください。プラグインの「無効化」だけでこの脆弱性を防げるかは個別に確認が必要です。", "kind": "procedure", "sourceUrls": [ "https://wordpress.org/documentation/article/plugins-screen/", "https://nvd.nist.gov/vuln/detail/CVE-2026-109982", "https://wpscan.com/vulnerability/27787d4e-1633-4eb6-bcf4-0a8586df3d47/" ] } ], "verification": [ { "text": "更新後に同じ管理画面を開き直してバージョンを記録します。修正対象の系列・版と一致するかを照合し、サイト表示、ログイン、フォームや購入など普段使う主要な操作も確認してください。更新ボタンを押しただけでは完了としないでください。", "kind": "procedure", "sourceUrls": [ "https://wordpress.org/documentation/article/updating-wordpress/", "https://wordpress.org/documentation/article/dashboard-updates-screen/" ] } ], "unknowns": [ "取り込んだ公開データには、修正済みと明記されたバージョン番号がありません。「修正されていない」と確定したわけではありません。下の問い合わせ文で、修正版の番号・提供場所・適用予定を確認できます。" ], "supportRequest": "件名：CVE-2026-109982（MB Custom Post Types & Custom Taxonomies）の影響と対応状況の確認\n\n利用中のサイト・機器・サービス：[記入してください]\n製品名・開発元：[記入してください]\n現在のバージョン・ビルド番号：[不明なら「不明」と記入]\n\nCVE-2026-109982について、次を教えてください。\n1. この環境は対象ですか。対象外の場合は、版・設定・機能などの判断理由を教えてください。\n2. 対象の場合、修正を含む版・パッケージ番号と、更新方法を教えてください。古い版に修正を取り込んでいる場合は、このCVEへの対応状況を教えてください。\n3. いつ対応できますか。再起動・停止時間・事前のバックアップや確認作業は必要ですか。\n4. すぐ更新できない場合、正式な回避策とその限界・副作用を教えてください。利用を続けてよい条件も知りたいです。\n5. 対応完了後、修正を確認できる版・設定・対応日時を連絡してください。\n\n確認している情報：https://zeijaku.ittrip.xyz/vulnerabilities/CVE-2026-109982", "sources": [ { "url": "https://nvd.nist.gov/vuln/detail/CVE-2026-109982", "label": "NVDの原文" }, { "url": "https://wpscan.com/vulnerability/27787d4e-1633-4eb6-bcf4-0a8586df3d47/", "label": "contact@wpscan.com" }, { "url": "https://www.first.org/cvss/v3.1/specification-document", "label": "FIRST公式：CVSS 3.1の条件の定義" }, { "url": "https://wordpress.org/documentation/article/plugins-screen/", "label": "WordPress公式：プラグイン一覧" }, { "url": "https://wordpress.org/documentation/article/site-health-screen/", "label": "WordPress公式：サイトヘルスの情報" }, { "url": "https://wordpress.org/documentation/article/updating-wordpress/", "label": "WordPress公式：本体の更新" }, { "url": "https://wordpress.org/documentation/article/dashboard-updates-screen/", "label": "WordPress公式：更新画面" }, { "url": "https://wordpress.org/documentation/article/manage-plugins/", "label": "WordPress公式：プラグインの確認と更新" } ] } }, { "id": "CVE-2026-109401", "aliases": [], "title": "WP Mail Logging：情報の漏えい", "summary": "WP Mail Loggingを使っている方が確認する情報です。公表文は「情報の漏えい」に関する問題を示しています。公開された対象範囲を下に日本語で示しています。", "risk": "本来見ることができない情報を、攻撃者に読み取られるおそれがあります。すべてのデータが漏れると決まったわけではなく、対象の情報と成立条件の確認が必要です。", "product": "WP Mail Logging", "category": "wordpress", "component": "plugin", "severity": "low", "cvss": 2.7, "cvssVersion": "3.1", "cvssSource": "security@wordfence.com", "cvssVector": "CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:L/I:N/A:N", "affected": [ { "product": "WP Mail Logging", "range": "<= 1.17.0" } ], "fixed": [], "steps": [ "「CVE-2026-109401」と現在の版を管理担当者・提供元へ伝え、この問題に対応した修正版が提供されているか確認します。下の問い合わせ文に記入すれば、そのまま依頼できます。対象範囲の上限から修正版の番号を推測しないでください。", "ファイルとデータベースのバックアップを取り、管理画面の「ダッシュボード」→「更新」で該当プラグインの更新を実行します。更新が表示されない有料製品などは、購入先・開発元の正規の配布経路を利用してください。" ], "references": [ { "url": "https://nvd.nist.gov/vuln/detail/CVE-2026-109401", "label": "NVDの原文" }, { "url": "https://plugins.trac.wordpress.org/browser/wp-mail-logging/tags/1.17.0/lib/vendor/brandonwamboldt/wp-orm/src/Query.php#L399", "label": "security@wordfence.com" }, { "url": "https://plugins.trac.wordpress.org/browser/wp-mail-logging/tags/1.17.0/src/WPML_PrivacyController.php#L76", "label": "security@wordfence.com" }, { "url": "https://plugins.trac.wordpress.org/browser/wp-mail-logging/tags/1.17.0/src/WPML_PrivacyController.php#L82", "label": "security@wordfence.com" }, { "url": "https://plugins.trac.wordpress.org/changeset/3746095/wp-mail-logging/trunk/src/WPML_PrivacyController.php?old=3464813&old_path=wp-mail-logging%2Ftrunk%2Fsrc%2FWPML_PrivacyController.php", "label": "security@wordfence.com" }, { "url": "https://plugins.trac.wordpress.org/changeset?reponame=&new=3746095%40wp-mail-logging%2Ftags%2F1.17.1&old=3705796%40wp-mail-logging%2Ftags%2F1.17.0", "label": "security@wordfence.com" }, { "url": "https://www.wordfence.com/threat-intel/vulnerabilities/id/f2b96f36-090d-4ed3-aa2c-dafa89d255cc?source=cve", "label": "security@wordfence.com" }, { "url": "https://www.first.org/cvss/v3.1/specification-document", "label": "FIRST公式：CVSS 3.1の条件の定義" }, { "url": "https://wordpress.org/documentation/article/plugins-screen/", "label": "WordPress公式：プラグイン一覧" }, { "url": "https://wordpress.org/documentation/article/site-health-screen/", "label": "WordPress公式：サイトヘルスの情報" }, { "url": "https://wordpress.org/documentation/article/updating-wordpress/", "label": "WordPress公式：本体の更新" }, { "url": "https://wordpress.org/documentation/article/dashboard-updates-screen/", "label": "WordPress公式：更新画面" }, { "url": "https://wordpress.org/documentation/article/manage-plugins/", "label": "WordPress公式：プラグインの確認と更新" } ], "publishedAt": "2026-10-16T07:17:09.887Z", "modifiedAt": "2026-10-16T15:17:07.347Z", "fetchedAt": "2026-10-22T22:09:30.689Z", "exploitStatus": "unknown", "sources": [ "NVD" ], "originalText": "The WP Mail Logging plugin for WordPress is vulnerable to Sensitive Information Exposure in all versions up to, and including, 1.17.0 via the 'email_address' parameter. This makes it possible for authenticated attackers, with administrator-level access and above, to extract complete logged mail rows belonging to other users — including recipient addresses, message subjects, full message bodies, and any URLs contained therein — whose addresses happen to match the wildcard. Exploitation requires an administrator to process a personal-data export request for the attacker's email address via the standard WordPress privacy workflow, and the attacker's address must contain a LIKE wildcard character (such as an underscore) that matches at least one other user's address in the mail log.", "sourceTitle": "CVE-2026-109401", "summaryMethod": "公開データの対象範囲・CVSS条件を日本語化し、製品ごとの一般的な操作手順を補足しています。個別の全文翻訳・環境診断ではありません。", "state": "published", "affectedDetails": [ { "vendor": "smub", "product": "WP Mail Logging", "defaultStatus": "unaffected", "versions": [ { "version": "0", "lessThanOrEqual": "1.17.0", "versionType": "semver", "status": "affected" } ] } ], "sourceSnapshots": [ { "source": "NVD", "modifiedAt": "2026-10-16T15:17:07.347Z", "fetchedAt": "2026-10-22T22:09:30.689Z", "state": "published" } ], "sourceSummary": "WP Mail Loggingに情報の漏えいに関する脆弱性情報があります。影響を受ける条件を確認してください。", "sourceRisk": "本来公開しない情報を読み取られる可能性があります。", "guidance": { "schemaVersion": "1.0", "method": "structured", "reviewedAt": null, "reviewState": "unreviewed", "summary": "WP Mail Loggingを使っている方が確認する情報です。公表文は「情報の漏えい」に関する問題を示しています。公開された対象範囲を下に日本語で示しています。", "risk": "本来見ることができない情報を、攻撃者に読み取られるおそれがあります。すべてのデータが漏れると決まったわけではなく、対象の情報と成立条件の確認が必要です。", "applicability": [ { "text": "最初に「WP Mail Logging」を使っているか、開発元・製品名・バージョンを確認します。同じカテゴリの製品を使っているだけでは、この問題の対象とは限りません。", "kind": "check", "sourceUrls": [ "https://nvd.nist.gov/vuln/detail/CVE-2026-109401", "https://plugins.trac.wordpress.org/browser/wp-mail-logging/tags/1.17.0/lib/vendor/brandonwamboldt/wp-orm/src/Query.php#L399", "https://plugins.trac.wordpress.org/browser/wp-mail-logging/tags/1.17.0/src/WPML_PrivacyController.php#L76", "https://plugins.trac.wordpress.org/browser/wp-mail-logging/tags/1.17.0/src/WPML_PrivacyController.php#L82", "https://plugins.trac.wordpress.org/changeset/3746095/wp-mail-logging/trunk/src/WPML_PrivacyController.php?old=3464813&old_path=wp-mail-logging%2Ftrunk%2Fsrc%2FWPML_PrivacyController.php", "https://plugins.trac.wordpress.org/changeset?reponame=&new=3746095%40wp-mail-logging%2Ftags%2F1.17.1&old=3705796%40wp-mail-logging%2Ftags%2F1.17.0", "https://www.wordfence.com/threat-intel/vulnerabilities/id/f2b96f36-090d-4ed3-aa2c-dafa89d255cc?source=cve" ] }, { "text": "公開データの対象範囲：WP Mail Logging — 1.17.0以下。この範囲に加え、下に記載する権限・構成などの条件も照合してください。", "kind": "fact", "sourceUrls": [ "https://nvd.nist.gov/vuln/detail/CVE-2026-109401", "https://plugins.trac.wordpress.org/browser/wp-mail-logging/tags/1.17.0/lib/vendor/brandonwamboldt/wp-orm/src/Query.php#L399", "https://plugins.trac.wordpress.org/browser/wp-mail-logging/tags/1.17.0/src/WPML_PrivacyController.php#L76", "https://plugins.trac.wordpress.org/browser/wp-mail-logging/tags/1.17.0/src/WPML_PrivacyController.php#L82", "https://plugins.trac.wordpress.org/changeset/3746095/wp-mail-logging/trunk/src/WPML_PrivacyController.php?old=3464813&old_path=wp-mail-logging%2Ftrunk%2Fsrc%2FWPML_PrivacyController.php", "https://plugins.trac.wordpress.org/changeset?reponame=&new=3746095%40wp-mail-logging%2Ftags%2F1.17.1&old=3705796%40wp-mail-logging%2Ftags%2F1.17.0", "https://www.wordfence.com/threat-intel/vulnerabilities/id/f2b96f36-090d-4ed3-aa2c-dafa89d255cc?source=cve" ] }, { "text": "公表されたCVSS評価では、攻撃者は事前に強い管理権限を持つ必要があります。必要な権限の正確な名前や機能は、個別の条件と照合してください。", "kind": "fact", "sourceUrls": [ "https://nvd.nist.gov/vuln/detail/CVE-2026-109401", "https://plugins.trac.wordpress.org/browser/wp-mail-logging/tags/1.17.0/lib/vendor/brandonwamboldt/wp-orm/src/Query.php#L399", "https://plugins.trac.wordpress.org/browser/wp-mail-logging/tags/1.17.0/src/WPML_PrivacyController.php#L76", "https://plugins.trac.wordpress.org/browser/wp-mail-logging/tags/1.17.0/src/WPML_PrivacyController.php#L82", "https://plugins.trac.wordpress.org/changeset/3746095/wp-mail-logging/trunk/src/WPML_PrivacyController.php?old=3464813&old_path=wp-mail-logging%2Ftrunk%2Fsrc%2FWPML_PrivacyController.php", "https://plugins.trac.wordpress.org/changeset?reponame=&new=3746095%40wp-mail-logging%2Ftags%2F1.17.1&old=3705796%40wp-mail-logging%2Ftags%2F1.17.0", "https://www.wordfence.com/threat-intel/vulnerabilities/id/f2b96f36-090d-4ed3-aa2c-dafa89d255cc?source=cve", "https://www.first.org/cvss/v3.1/specification-document" ] }, { "text": "公表されたCVSS評価では、ネットワーク越しに攻撃が届く経路があります。あなたの環境がインターネットから到達可能かどうかは、公開設定を別に確認する必要があります。", "kind": "fact", "sourceUrls": [ "https://nvd.nist.gov/vuln/detail/CVE-2026-109401", "https://plugins.trac.wordpress.org/browser/wp-mail-logging/tags/1.17.0/lib/vendor/brandonwamboldt/wp-orm/src/Query.php#L399", "https://plugins.trac.wordpress.org/browser/wp-mail-logging/tags/1.17.0/src/WPML_PrivacyController.php#L76", "https://plugins.trac.wordpress.org/browser/wp-mail-logging/tags/1.17.0/src/WPML_PrivacyController.php#L82", "https://plugins.trac.wordpress.org/changeset/3746095/wp-mail-logging/trunk/src/WPML_PrivacyController.php?old=3464813&old_path=wp-mail-logging%2Ftrunk%2Fsrc%2FWPML_PrivacyController.php", "https://plugins.trac.wordpress.org/changeset?reponame=&new=3746095%40wp-mail-logging%2Ftags%2F1.17.1&old=3705796%40wp-mail-logging%2Ftags%2F1.17.0", "https://www.wordfence.com/threat-intel/vulnerabilities/id/f2b96f36-090d-4ed3-aa2c-dafa89d255cc?source=cve", "https://www.first.org/cvss/v3.1/specification-document" ] }, { "text": "公表されたCVSS評価では、攻撃者以外の利用者がリンクを開くなどの操作をしなくても、攻撃が成立し得ます。", "kind": "fact", "sourceUrls": [ "https://nvd.nist.gov/vuln/detail/CVE-2026-109401", "https://plugins.trac.wordpress.org/browser/wp-mail-logging/tags/1.17.0/lib/vendor/brandonwamboldt/wp-orm/src/Query.php#L399", "https://plugins.trac.wordpress.org/browser/wp-mail-logging/tags/1.17.0/src/WPML_PrivacyController.php#L76", "https://plugins.trac.wordpress.org/browser/wp-mail-logging/tags/1.17.0/src/WPML_PrivacyController.php#L82", "https://plugins.trac.wordpress.org/changeset/3746095/wp-mail-logging/trunk/src/WPML_PrivacyController.php?old=3464813&old_path=wp-mail-logging%2Ftrunk%2Fsrc%2FWPML_PrivacyController.php", "https://plugins.trac.wordpress.org/changeset?reponame=&new=3746095%40wp-mail-logging%2Ftags%2F1.17.1&old=3705796%40wp-mail-logging%2Ftags%2F1.17.0", "https://www.wordfence.com/threat-intel/vulnerabilities/id/f2b96f36-090d-4ed3-aa2c-dafa89d255cc?source=cve", "https://www.first.org/cvss/v3.1/specification-document" ] } ], "versionChecks": [ { "text": "WordPressの管理画面にログインし、「プラグイン」→「インストール済みプラグイン」を開きます。「WP Mail Logging」と同じ製品名・開発元の項目を探し、表示されているバージョンを控えてください。停止中のプラグインも一覧に含めて確認します。", "kind": "procedure", "sourceUrls": [ "https://wordpress.org/documentation/article/plugins-screen/" ] }, { "text": "管理画面に入れない、または同じ名前の製品を判別できない場合は、下の問い合わせ文をサイトの制作会社・管理担当者に送ってください。名前が見つからないという理由だけで、安全とは判定しないでください。", "kind": "procedure", "sourceUrls": [ "https://wordpress.org/documentation/article/site-health-screen/", "https://wordpress.org/documentation/article/plugins-screen/" ] } ], "actions": [ { "text": "「CVE-2026-109401」と現在の版を管理担当者・提供元へ伝え、この問題に対応した修正版が提供されているか確認します。下の問い合わせ文に記入すれば、そのまま依頼できます。対象範囲の上限から修正版の番号を推測しないでください。", "kind": "procedure", "sourceUrls": [ "https://nvd.nist.gov/vuln/detail/CVE-2026-109401", "https://plugins.trac.wordpress.org/browser/wp-mail-logging/tags/1.17.0/lib/vendor/brandonwamboldt/wp-orm/src/Query.php#L399", "https://plugins.trac.wordpress.org/browser/wp-mail-logging/tags/1.17.0/src/WPML_PrivacyController.php#L76", "https://plugins.trac.wordpress.org/browser/wp-mail-logging/tags/1.17.0/src/WPML_PrivacyController.php#L82", "https://plugins.trac.wordpress.org/changeset/3746095/wp-mail-logging/trunk/src/WPML_PrivacyController.php?old=3464813&old_path=wp-mail-logging%2Ftrunk%2Fsrc%2FWPML_PrivacyController.php", "https://plugins.trac.wordpress.org/changeset?reponame=&new=3746095%40wp-mail-logging%2Ftags%2F1.17.1&old=3705796%40wp-mail-logging%2Ftags%2F1.17.0", "https://www.wordfence.com/threat-intel/vulnerabilities/id/f2b96f36-090d-4ed3-aa2c-dafa89d255cc?source=cve" ] }, { "text": "ファイルとデータベースのバックアップを取り、管理画面の「ダッシュボード」→「更新」で該当プラグインの更新を実行します。更新が表示されない有料製品などは、購入先・開発元の正規の配布経路を利用してください。", "kind": "procedure", "sourceUrls": [ "https://wordpress.org/documentation/article/updating-wordpress/", "https://wordpress.org/documentation/article/dashboard-updates-screen/", "https://wordpress.org/documentation/article/manage-plugins/" ] } ], "temporaryMitigations": [ { "text": "更新できない場合は、対象機能の停止や公開範囲の制限が使えるかを管理担当者と検討し、実施内容と更新予定日を記録してください。プラグインの「無効化」だけでこの脆弱性を防げるかは個別に確認が必要です。", "kind": "procedure", "sourceUrls": [ "https://wordpress.org/documentation/article/plugins-screen/", "https://nvd.nist.gov/vuln/detail/CVE-2026-109401", "https://plugins.trac.wordpress.org/browser/wp-mail-logging/tags/1.17.0/lib/vendor/brandonwamboldt/wp-orm/src/Query.php#L399", "https://plugins.trac.wordpress.org/browser/wp-mail-logging/tags/1.17.0/src/WPML_PrivacyController.php#L76", "https://plugins.trac.wordpress.org/browser/wp-mail-logging/tags/1.17.0/src/WPML_PrivacyController.php#L82", "https://plugins.trac.wordpress.org/changeset/3746095/wp-mail-logging/trunk/src/WPML_PrivacyController.php?old=3464813&old_path=wp-mail-logging%2Ftrunk%2Fsrc%2FWPML_PrivacyController.php", "https://plugins.trac.wordpress.org/changeset?reponame=&new=3746095%40wp-mail-logging%2Ftags%2F1.17.1&old=3705796%40wp-mail-logging%2Ftags%2F1.17.0", "https://www.wordfence.com/threat-intel/vulnerabilities/id/f2b96f36-090d-4ed3-aa2c-dafa89d255cc?source=cve" ] } ], "verification": [ { "text": "更新後に同じ管理画面を開き直してバージョンを記録します。修正対象の系列・版と一致するかを照合し、サイト表示、ログイン、フォームや購入など普段使う主要な操作も確認してください。更新ボタンを押しただけでは完了としないでください。", "kind": "procedure", "sourceUrls": [ "https://wordpress.org/documentation/article/updating-wordpress/", "https://wordpress.org/documentation/article/dashboard-updates-screen/" ] } ], "unknowns": [ "取り込んだ公開データには、修正済みと明記されたバージョン番号がありません。「修正されていない」と確定したわけではありません。下の問い合わせ文で、修正版の番号・提供場所・適用予定を確認できます。" ], "supportRequest": "件名：CVE-2026-109401（WP Mail Logging）の影響と対応状況の確認\n\n利用中のサイト・機器・サービス：[記入してください]\n製品名・開発元：[記入してください]\n現在のバージョン・ビルド番号：[不明なら「不明」と記入]\n\nCVE-2026-109401について、次を教えてください。\n1. この環境は対象ですか。対象外の場合は、版・設定・機能などの判断理由を教えてください。\n2. 対象の場合、修正を含む版・パッケージ番号と、更新方法を教えてください。古い版に修正を取り込んでいる場合は、このCVEへの対応状況を教えてください。\n3. いつ対応できますか。再起動・停止時間・事前のバックアップや確認作業は必要ですか。\n4. すぐ更新できない場合、正式な回避策とその限界・副作用を教えてください。利用を続けてよい条件も知りたいです。\n5. 対応完了後、修正を確認できる版・設定・対応日時を連絡してください。\n\n確認している情報：https://zeijaku.ittrip.xyz/vulnerabilities/CVE-2026-109401", "sources": [ { "url": "https://nvd.nist.gov/vuln/detail/CVE-2026-109401", "label": "NVDの原文" }, { "url": "https://plugins.trac.wordpress.org/browser/wp-mail-logging/tags/1.17.0/lib/vendor/brandonwamboldt/wp-orm/src/Query.php#L399", "label": "security@wordfence.com" }, { "url": "https://plugins.trac.wordpress.org/browser/wp-mail-logging/tags/1.17.0/src/WPML_PrivacyController.php#L76", "label": "security@wordfence.com" }, { "url": "https://plugins.trac.wordpress.org/browser/wp-mail-logging/tags/1.17.0/src/WPML_PrivacyController.php#L82", "label": "security@wordfence.com" }, { "url": "https://plugins.trac.wordpress.org/changeset/3746095/wp-mail-logging/trunk/src/WPML_PrivacyController.php?old=3464813&old_path=wp-mail-logging%2Ftrunk%2Fsrc%2FWPML_PrivacyController.php", "label": "security@wordfence.com" }, { "url": "https://plugins.trac.wordpress.org/changeset?reponame=&new=3746095%40wp-mail-logging%2Ftags%2F1.17.1&old=3705796%40wp-mail-logging%2Ftags%2F1.17.0", "label": "security@wordfence.com" }, { "url": "https://www.wordfence.com/threat-intel/vulnerabilities/id/f2b96f36-090d-4ed3-aa2c-dafa89d255cc?source=cve", "label": "security@wordfence.com" }, { "url": "https://www.first.org/cvss/v3.1/specification-document", "label": "FIRST公式：CVSS 3.1の条件の定義" }, { "url": "https://wordpress.org/documentation/article/plugins-screen/", "label": "WordPress公式：プラグイン一覧" }, { "url": "https://wordpress.org/documentation/article/site-health-screen/", "label": "WordPress公式：サイトヘルスの情報" }, { "url": "https://wordpress.org/documentation/article/updating-wordpress/", "label": "WordPress公式：本体の更新" }, { "url": "https://wordpress.org/documentation/article/dashboard-updates-screen/", "label": "WordPress公式：更新画面" }, { "url": "https://wordpress.org/documentation/article/manage-plugins/", "label": "WordPress公式：プラグインの確認と更新" } ] } }, { "id": "CVE-2026-109388", "aliases": [], "title": "HivePress – Business Directory, Listings & Classified Ads Plugin：ブラウザー上での不正な処理", "summary": "HivePress – Business Directory, Listings & Classified Ads Pluginを使っている方が確認する情報です。公表文は「ブラウザー上での不正な処理」に関する問題を示しています。公開された対象範囲を下に日本語で示しています。", "risk": "攻撃者が用意した内容を表示した利用者のブラウザーで、不正なプログラムが動くおそれがあります。表示の書き換えや、利用者の権限を悪用する操作につながり得ます。", "product": "HivePress – Business Directory, Listings & Classified Ads Plugin", "category": "wordpress", "component": "plugin", "severity": "medium", "cvss": 6.4, "cvssVersion": "3.1", "cvssSource": "security@wordfence.com", "cvssVector": "CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:N", "affected": [ { "product": "HivePress – Business Directory, Listings & Classified Ads Plugin", "range": "<= 1.7.32" } ], "fixed": [], "steps": [ "「CVE-2026-109388」と現在の版を管理担当者・提供元へ伝え、この問題に対応した修正版が提供されているか確認します。下の問い合わせ文に記入すれば、そのまま依頼できます。対象範囲の上限から修正版の番号を推測しないでください。", "ファイルとデータベースのバックアップを取り、管理画面の「ダッシュボード」→「更新」で該当プラグインの更新を実行します。更新が表示されない有料製品などは、購入先・開発元の正規の配布経路を利用してください。" ], "references": [ { "url": "https://nvd.nist.gov/vuln/detail/CVE-2026-109388", "label": "NVDの原文" }, { "url": "https://github.com/hivepress/hivepress/pull/374/changes/508b1766beb79949ab22dd4a163fafadb4c63e7d", "label": "security@wordfence.com" }, { "url": "https://plugins.trac.wordpress.org/browser/hivepress/tags/1.7.32/assets/js/common.js#L1278", "label": "security@wordfence.com" }, { "url": "https://plugins.trac.wordpress.org/browser/hivepress/tags/1.7.32/includes/blocks/class-form.php#L89", "label": "security@wordfence.com" }, { "url": "https://plugins.trac.wordpress.org/browser/hivepress/tags/1.7.32/includes/components/class-editor.php#L417", "label": "security@wordfence.com" }, { "url": "https://plugins.trac.wordpress.org/browser/hivepress/tags/1.7.32/includes/forms/class-form.php#L189", "label": "security@wordfence.com" }, { "url": "https://plugins.trac.wordpress.org/changeset?reponame=&new=3747070%40hivepress%2Ftags%2F1.8.0&old=3732142%40hivepress%2Ftags%2F1.7.32", "label": "security@wordfence.com" }, { "url": "https://www.wordfence.com/threat-intel/vulnerabilities/id/5d1937ae-d350-452c-b20e-d85bc88dbe48?source=cve", "label": "security@wordfence.com" }, { "url": "https://www.first.org/cvss/v3.1/specification-document", "label": "FIRST公式：CVSS 3.1の条件の定義" }, { "url": "https://wordpress.org/documentation/article/plugins-screen/", "label": "WordPress公式：プラグイン一覧" }, { "url": "https://wordpress.org/documentation/article/site-health-screen/", "label": "WordPress公式：サイトヘルスの情報" }, { "url": "https://wordpress.org/documentation/article/updating-wordpress/", "label": "WordPress公式：本体の更新" }, { "url": "https://wordpress.org/documentation/article/dashboard-updates-screen/", "label": "WordPress公式：更新画面" }, { "url": "https://wordpress.org/documentation/article/manage-plugins/", "label": "WordPress公式：プラグインの確認と更新" } ], "publishedAt": "2026-10-16T07:17:09.730Z", "modifiedAt": "2026-10-16T15:17:07.240Z", "fetchedAt": "2026-10-22T22:09:30.689Z", "exploitStatus": "unknown", "sources": [ "NVD" ], "originalText": "The HivePress – Business Directory, Listings & Classified Ads Plugin plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the 'message' parameter in all versions up to, and including, 1.7.32 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with subscriber-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. Exploitation requires that the site administrator has enabled user listing submission, and the script executes in the victim's browser at the moment of successful login via the embedded form on the attacker's listing page.", "sourceTitle": "CVE-2026-109388", "summaryMethod": "公開データの対象範囲・CVSS条件を日本語化し、製品ごとの一般的な操作手順を補足しています。個別の全文翻訳・環境診断ではありません。", "state": "published", "affectedDetails": [ { "vendor": "hivepress", "product": "HivePress – Business Directory, Listings & Classified Ads Plugin", "defaultStatus": "unaffected", "versions": [ { "version": "0", "lessThanOrEqual": "1.7.32", "versionType": "semver", "status": "affected" } ] } ], "sourceSnapshots": [ { "source": "NVD", "modifiedAt": "2026-10-16T15:17:07.240Z", "fetchedAt": "2026-10-22T22:09:30.689Z", "state": "published" } ], "sourceSummary": "HivePress – Business Directory, Listings & Classified Ads Pluginにブラウザー上での不正な処理に関する脆弱性情報があります。影響を受ける条件を確認してください。", "sourceRisk": "利用者のブラウザー上で不正なスクリプトが動く可能性があります。成立条件は原文を確認してください。", "guidance": { "schemaVersion": "1.0", "method": "structured", "reviewedAt": null, "reviewState": "unreviewed", "summary": "HivePress – Business Directory, Listings & Classified Ads Pluginを使っている方が確認する情報です。公表文は「ブラウザー上での不正な処理」に関する問題を示しています。公開された対象範囲を下に日本語で示しています。", "risk": "攻撃者が用意した内容を表示した利用者のブラウザーで、不正なプログラムが動くおそれがあります。表示の書き換えや、利用者の権限を悪用する操作につながり得ます。", "applicability": [ { "text": "最初に「HivePress – Business Directory, Listings & Classified Ads Plugin」を使っているか、開発元・製品名・バージョンを確認します。同じカテゴリの製品を使っているだけでは、この問題の対象とは限りません。", "kind": "check", "sourceUrls": [ "https://nvd.nist.gov/vuln/detail/CVE-2026-109388", "https://github.com/hivepress/hivepress/pull/374/changes/508b1766beb79949ab22dd4a163fafadb4c63e7d", "https://plugins.trac.wordpress.org/browser/hivepress/tags/1.7.32/assets/js/common.js#L1278", "https://plugins.trac.wordpress.org/browser/hivepress/tags/1.7.32/includes/blocks/class-form.php#L89", "https://plugins.trac.wordpress.org/browser/hivepress/tags/1.7.32/includes/components/class-editor.php#L417", "https://plugins.trac.wordpress.org/browser/hivepress/tags/1.7.32/includes/forms/class-form.php#L189", "https://plugins.trac.wordpress.org/changeset?reponame=&new=3747070%40hivepress%2Ftags%2F1.8.0&old=3732142%40hivepress%2Ftags%2F1.7.32", "https://www.wordfence.com/threat-intel/vulnerabilities/id/5d1937ae-d350-452c-b20e-d85bc88dbe48?source=cve" ] }, { "text": "公開データの対象範囲：HivePress – Business Directory, Listings & Classified Ads Plugin — 1.7.32以下。この範囲に加え、下に記載する権限・構成などの条件も照合してください。", "kind": "fact", "sourceUrls": [ "https://nvd.nist.gov/vuln/detail/CVE-2026-109388", "https://github.com/hivepress/hivepress/pull/374/changes/508b1766beb79949ab22dd4a163fafadb4c63e7d", "https://plugins.trac.wordpress.org/browser/hivepress/tags/1.7.32/assets/js/common.js#L1278", "https://plugins.trac.wordpress.org/browser/hivepress/tags/1.7.32/includes/blocks/class-form.php#L89", "https://plugins.trac.wordpress.org/browser/hivepress/tags/1.7.32/includes/components/class-editor.php#L417", "https://plugins.trac.wordpress.org/browser/hivepress/tags/1.7.32/includes/forms/class-form.php#L189", "https://plugins.trac.wordpress.org/changeset?reponame=&new=3747070%40hivepress%2Ftags%2F1.8.0&old=3732142%40hivepress%2Ftags%2F1.7.32", "https://www.wordfence.com/threat-intel/vulnerabilities/id/5d1937ae-d350-452c-b20e-d85bc88dbe48?source=cve" ] }, { "text": "公表されたCVSS評価では、攻撃者は事前に一般利用者程度の権限を持つ必要があります。WordPressの「購読者」「投稿者」などの具体的な役割は、この値だけでは分かりません。", "kind": "fact", "sourceUrls": [ "https://nvd.nist.gov/vuln/detail/CVE-2026-109388", "https://github.com/hivepress/hivepress/pull/374/changes/508b1766beb79949ab22dd4a163fafadb4c63e7d", "https://plugins.trac.wordpress.org/browser/hivepress/tags/1.7.32/assets/js/common.js#L1278", "https://plugins.trac.wordpress.org/browser/hivepress/tags/1.7.32/includes/blocks/class-form.php#L89", "https://plugins.trac.wordpress.org/browser/hivepress/tags/1.7.32/includes/components/class-editor.php#L417", "https://plugins.trac.wordpress.org/browser/hivepress/tags/1.7.32/includes/forms/class-form.php#L189", "https://plugins.trac.wordpress.org/changeset?reponame=&new=3747070%40hivepress%2Ftags%2F1.8.0&old=3732142%40hivepress%2Ftags%2F1.7.32", "https://www.wordfence.com/threat-intel/vulnerabilities/id/5d1937ae-d350-452c-b20e-d85bc88dbe48?source=cve", "https://www.first.org/cvss/v3.1/specification-document" ] }, { "text": "公表されたCVSS評価では、ネットワーク越しに攻撃が届く経路があります。あなたの環境がインターネットから到達可能かどうかは、公開設定を別に確認する必要があります。", "kind": "fact", "sourceUrls": [ "https://nvd.nist.gov/vuln/detail/CVE-2026-109388", "https://github.com/hivepress/hivepress/pull/374/changes/508b1766beb79949ab22dd4a163fafadb4c63e7d", "https://plugins.trac.wordpress.org/browser/hivepress/tags/1.7.32/assets/js/common.js#L1278", "https://plugins.trac.wordpress.org/browser/hivepress/tags/1.7.32/includes/blocks/class-form.php#L89", "https://plugins.trac.wordpress.org/browser/hivepress/tags/1.7.32/includes/components/class-editor.php#L417", "https://plugins.trac.wordpress.org/browser/hivepress/tags/1.7.32/includes/forms/class-form.php#L189", "https://plugins.trac.wordpress.org/changeset?reponame=&new=3747070%40hivepress%2Ftags%2F1.8.0&old=3732142%40hivepress%2Ftags%2F1.7.32", "https://www.wordfence.com/threat-intel/vulnerabilities/id/5d1937ae-d350-452c-b20e-d85bc88dbe48?source=cve", "https://www.first.org/cvss/v3.1/specification-document" ] }, { "text": "公表されたCVSS評価では、攻撃者以外の利用者がリンクを開くなどの操作をしなくても、攻撃が成立し得ます。", "kind": "fact", "sourceUrls": [ "https://nvd.nist.gov/vuln/detail/CVE-2026-109388", "https://github.com/hivepress/hivepress/pull/374/changes/508b1766beb79949ab22dd4a163fafadb4c63e7d", "https://plugins.trac.wordpress.org/browser/hivepress/tags/1.7.32/assets/js/common.js#L1278", "https://plugins.trac.wordpress.org/browser/hivepress/tags/1.7.32/includes/blocks/class-form.php#L89", "https://plugins.trac.wordpress.org/browser/hivepress/tags/1.7.32/includes/components/class-editor.php#L417", "https://plugins.trac.wordpress.org/browser/hivepress/tags/1.7.32/includes/forms/class-form.php#L189", "https://plugins.trac.wordpress.org/changeset?reponame=&new=3747070%40hivepress%2Ftags%2F1.8.0&old=3732142%40hivepress%2Ftags%2F1.7.32", "https://www.wordfence.com/threat-intel/vulnerabilities/id/5d1937ae-d350-452c-b20e-d85bc88dbe48?source=cve", "https://www.first.org/cvss/v3.1/specification-document" ] } ], "versionChecks": [ { "text": "WordPressの管理画面にログインし、「プラグイン」→「インストール済みプラグイン」を開きます。「HivePress – Business Directory, Listings & Classified Ads Plugin」と同じ製品名・開発元の項目を探し、表示されているバージョンを控えてください。停止中のプラグインも一覧に含めて確認します。", "kind": "procedure", "sourceUrls": [ "https://wordpress.org/documentation/article/plugins-screen/" ] }, { "text": "管理画面に入れない、または同じ名前の製品を判別できない場合は、下の問い合わせ文をサイトの制作会社・管理担当者に送ってください。名前が見つからないという理由だけで、安全とは判定しないでください。", "kind": "procedure", "sourceUrls": [ "https://wordpress.org/documentation/article/site-health-screen/", "https://wordpress.org/documentation/article/plugins-screen/" ] } ], "actions": [ { "text": "「CVE-2026-109388」と現在の版を管理担当者・提供元へ伝え、この問題に対応した修正版が提供されているか確認します。下の問い合わせ文に記入すれば、そのまま依頼できます。対象範囲の上限から修正版の番号を推測しないでください。", "kind": "procedure", "sourceUrls": [ "https://nvd.nist.gov/vuln/detail/CVE-2026-109388", "https://github.com/hivepress/hivepress/pull/374/changes/508b1766beb79949ab22dd4a163fafadb4c63e7d", "https://plugins.trac.wordpress.org/browser/hivepress/tags/1.7.32/assets/js/common.js#L1278", "https://plugins.trac.wordpress.org/browser/hivepress/tags/1.7.32/includes/blocks/class-form.php#L89", "https://plugins.trac.wordpress.org/browser/hivepress/tags/1.7.32/includes/components/class-editor.php#L417", "https://plugins.trac.wordpress.org/browser/hivepress/tags/1.7.32/includes/forms/class-form.php#L189", "https://plugins.trac.wordpress.org/changeset?reponame=&new=3747070%40hivepress%2Ftags%2F1.8.0&old=3732142%40hivepress%2Ftags%2F1.7.32", "https://www.wordfence.com/threat-intel/vulnerabilities/id/5d1937ae-d350-452c-b20e-d85bc88dbe48?source=cve" ] }, { "text": "ファイルとデータベースのバックアップを取り、管理画面の「ダッシュボード」→「更新」で該当プラグインの更新を実行します。更新が表示されない有料製品などは、購入先・開発元の正規の配布経路を利用してください。", "kind": "procedure", "sourceUrls": [ "https://wordpress.org/documentation/article/updating-wordpress/", "https://wordpress.org/documentation/article/dashboard-updates-screen/", "https://wordpress.org/documentation/article/manage-plugins/" ] } ], "temporaryMitigations": [ { "text": "更新できない場合は、対象機能の停止や公開範囲の制限が使えるかを管理担当者と検討し、実施内容と更新予定日を記録してください。プラグインの「無効化」だけでこの脆弱性を防げるかは個別に確認が必要です。", "kind": "procedure", "sourceUrls": [ "https://wordpress.org/documentation/article/plugins-screen/", "https://nvd.nist.gov/vuln/detail/CVE-2026-109388", "https://github.com/hivepress/hivepress/pull/374/changes/508b1766beb79949ab22dd4a163fafadb4c63e7d", "https://plugins.trac.wordpress.org/browser/hivepress/tags/1.7.32/assets/js/common.js#L1278", "https://plugins.trac.wordpress.org/browser/hivepress/tags/1.7.32/includes/blocks/class-form.php#L89", "https://plugins.trac.wordpress.org/browser/hivepress/tags/1.7.32/includes/components/class-editor.php#L417", "https://plugins.trac.wordpress.org/browser/hivepress/tags/1.7.32/includes/forms/class-form.php#L189", "https://plugins.trac.wordpress.org/changeset?reponame=&new=3747070%40hivepress%2Ftags%2F1.8.0&old=3732142%40hivepress%2Ftags%2F1.7.32", "https://www.wordfence.com/threat-intel/vulnerabilities/id/5d1937ae-d350-452c-b20e-d85bc88dbe48?source=cve" ] } ], "verification": [ { "text": "更新後に同じ管理画面を開き直してバージョンを記録します。修正対象の系列・版と一致するかを照合し、サイト表示、ログイン、フォームや購入など普段使う主要な操作も確認してください。更新ボタンを押しただけでは完了としないでください。", "kind": "procedure", "sourceUrls": [ "https://wordpress.org/documentation/article/updating-wordpress/", "https://wordpress.org/documentation/article/dashboard-updates-screen/" ] } ], "unknowns": [ "取り込んだ公開データには、修正済みと明記されたバージョン番号がありません。「修正されていない」と確定したわけではありません。下の問い合わせ文で、修正版の番号・提供場所・適用予定を確認できます。" ], "supportRequest": "件名：CVE-2026-109388（HivePress – Business Directory, Listings & Classified Ads Plugin）の影響と対応状況の確認\n\n利用中のサイト・機器・サービス：[記入してください]\n製品名・開発元：[記入してください]\n現在のバージョン・ビルド番号：[不明なら「不明」と記入]\n\nCVE-2026-109388について、次を教えてください。\n1. この環境は対象ですか。対象外の場合は、版・設定・機能などの判断理由を教えてください。\n2. 対象の場合、修正を含む版・パッケージ番号と、更新方法を教えてください。古い版に修正を取り込んでいる場合は、このCVEへの対応状況を教えてください。\n3. いつ対応できますか。再起動・停止時間・事前のバックアップや確認作業は必要ですか。\n4. すぐ更新できない場合、正式な回避策とその限界・副作用を教えてください。利用を続けてよい条件も知りたいです。\n5. 対応完了後、修正を確認できる版・設定・対応日時を連絡してください。\n\n確認している情報：https://zeijaku.ittrip.xyz/vulnerabilities/CVE-2026-109388", "sources": [ { "url": "https://nvd.nist.gov/vuln/detail/CVE-2026-109388", "label": "NVDの原文" }, { "url": "https://github.com/hivepress/hivepress/pull/374/changes/508b1766beb79949ab22dd4a163fafadb4c63e7d", "label": "security@wordfence.com" }, { "url": "https://plugins.trac.wordpress.org/browser/hivepress/tags/1.7.32/assets/js/common.js#L1278", "label": "security@wordfence.com" }, { "url": "https://plugins.trac.wordpress.org/browser/hivepress/tags/1.7.32/includes/blocks/class-form.php#L89", "label": "security@wordfence.com" }, { "url": "https://plugins.trac.wordpress.org/browser/hivepress/tags/1.7.32/includes/components/class-editor.php#L417", "label": "security@wordfence.com" }, { "url": "https://plugins.trac.wordpress.org/browser/hivepress/tags/1.7.32/includes/forms/class-form.php#L189", "label": "security@wordfence.com" }, { "url": "https://plugins.trac.wordpress.org/changeset?reponame=&new=3747070%40hivepress%2Ftags%2F1.8.0&old=3732142%40hivepress%2Ftags%2F1.7.32", "label": "security@wordfence.com" }, { "url": "https://www.wordfence.com/threat-intel/vulnerabilities/id/5d1937ae-d350-452c-b20e-d85bc88dbe48?source=cve", "label": "security@wordfence.com" }, { "url": "https://www.first.org/cvss/v3.1/specification-document", "label": "FIRST公式：CVSS 3.1の条件の定義" }, { "url": "https://wordpress.org/documentation/article/plugins-screen/", "label": "WordPress公式：プラグイン一覧" }, { "url": "https://wordpress.org/documentation/article/site-health-screen/", "label": "WordPress公式：サイトヘルスの情報" }, { "url": "https://wordpress.org/documentation/article/updating-wordpress/", "label": "WordPress公式：本体の更新" }, { "url": "https://wordpress.org/documentation/article/dashboard-updates-screen/", "label": "WordPress公式：更新画面" }, { "url": "https://wordpress.org/documentation/article/manage-plugins/", "label": "WordPress公式：プラグインの確認と更新" } ] } }, { "id": "CVE-2026-109382", "aliases": [], "title": "WSP MCP – Free MCP Plugin for WordPress: Connect Claude, ChatGPT & AI Agents：情報の漏えい", "summary": "WSP MCP – Free MCP Plugin for WordPress: Connect Claude, ChatGPT & AI Agentsを使っている方が確認する情報です。公表文は「情報の漏えい」に関する問題を示しています。公開された対象範囲を下に日本語で示しています。", "risk": "本来見ることができない情報を、攻撃者に読み取られるおそれがあります。すべてのデータが漏れると決まったわけではなく、対象の情報と成立条件の確認が必要です。", "product": "WSP MCP – Free MCP Plugin for WordPress: Connect Claude, ChatGPT & AI Agents", "category": "wordpress", "component": "plugin", "severity": "medium", "cvss": 6.5, "cvssVersion": "3.1", "cvssSource": "security@wordfence.com", "cvssVector": "CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N", "affected": [ { "product": "WSP MCP – Free MCP Plugin for WordPress: Connect Claude, ChatGPT & AI Agents", "range": "<= 2.9.5" } ], "fixed": [], "steps": [ "「CVE-2026-109382」と現在の版を管理担当者・提供元へ伝え、この問題に対応した修正版が提供されているか確認します。下の問い合わせ文に記入すれば、そのまま依頼できます。対象範囲の上限から修正版の番号を推測しないでください。", "ファイルとデータベースのバックアップを取り、管理画面の「ダッシュボード」→「更新」で該当プラグインの更新を実行します。更新が表示されない有料製品などは、購入先・開発元の正規の配布経路を利用してください。" ], "references": [ { "url": "https://nvd.nist.gov/vuln/detail/CVE-2026-109382", "label": "NVDの原文" }, { "url": "https://plugins.trac.wordpress.org/browser/wsp-mcp-ai-agents-connector/tags/2.9.5/includes/abilities/posts.php#L7", "label": "security@wordfence.com" }, { "url": "https://plugins.trac.wordpress.org/browser/wsp-mcp-ai-agents-connector/tags/2.9.5/includes/server/class-auth.php#L123", "label": "security@wordfence.com" }, { "url": "https://plugins.trac.wordpress.org/browser/wsp-mcp-ai-agents-connector/tags/2.9.5/includes/server/class-auth.php#L59", "label": "security@wordfence.com" }, { "url": "https://plugins.trac.wordpress.org/browser/wsp-mcp-ai-agents-connector/tags/2.9.5/includes/server/class-mcp-server.php#L78", "label": "security@wordfence.com" }, { "url": "https://plugins.trac.wordpress.org/browser/wsp-mcp-ai-agents-connector/tags/2.9.5/includes/tools/native-tools.php#L42", "label": "security@wordfence.com" }, { "url": "https://plugins.trac.wordpress.org/changeset?reponame=&old=3743711%40wsp-mcp-ai-agents-connector&new=3743711%40wsp-mcp-ai-agents-connector", "label": "security@wordfence.com" }, { "url": "https://www.wordfence.com/threat-intel/vulnerabilities/id/809eb78f-fd8e-4434-a36b-bb8e313cf264?source=cve", "label": "security@wordfence.com" }, { "url": "https://www.first.org/cvss/v3.1/specification-document", "label": "FIRST公式：CVSS 3.1の条件の定義" }, { "url": "https://wordpress.org/documentation/article/plugins-screen/", "label": "WordPress公式：プラグイン一覧" }, { "url": "https://wordpress.org/documentation/article/site-health-screen/", "label": "WordPress公式：サイトヘルスの情報" }, { "url": "https://wordpress.org/documentation/article/updating-wordpress/", "label": "WordPress公式：本体の更新" }, { "url": "https://wordpress.org/documentation/article/dashboard-updates-screen/", "label": "WordPress公式：更新画面" }, { "url": "https://wordpress.org/documentation/article/manage-plugins/", "label": "WordPress公式：プラグインの確認と更新" } ], "publishedAt": "2026-10-16T07:17:09.573Z", "modifiedAt": "2026-10-16T15:17:07.133Z", "fetchedAt": "2026-10-22T22:09:30.689Z", "exploitStatus": "unknown", "sources": [ "NVD" ], "originalText": "The WSP MCP AI Agents Connector plugin for WordPress is vulnerable to Sensitive Information Disclosure in versions up to, and including, 2.9.5. This is due to the wsp_get_posts MCP tool being registered with an empty capability requirement while the MCP endpoint's authenticate() method accepts any logged-in user, and the wsp_execute_get_posts() callback honouring a caller-supplied status=all argument that expands into a WP_Query over 'publish', 'draft', 'pending' and 'future' posts with no author or ownership filter. This makes it possible for authenticated attackers, with Subscriber-level access and above, to read the titles, URLs, authors, categories, tags and 40-word excerpts of every unpublished (draft/pending/scheduled) post on the site.", "sourceTitle": "CVE-2026-109382", "summaryMethod": "公開データの対象範囲・CVSS条件を日本語化し、製品ごとの一般的な操作手順を補足しています。個別の全文翻訳・環境診断ではありません。", "state": "published", "affectedDetails": [ { "vendor": "bilalnaseer", "product": "WSP MCP – Free MCP Plugin for WordPress: Connect Claude, ChatGPT & AI Agents", "defaultStatus": "unaffected", "versions": [ { "version": "0", "lessThanOrEqual": "2.9.5", "versionType": "semver", "status": "affected" } ] } ], "sourceSnapshots": [ { "source": "NVD", "modifiedAt": "2026-10-16T15:17:07.133Z", "fetchedAt": "2026-10-22T22:09:30.689Z", "state": "published" } ], "sourceSummary": "WSP MCP – Free MCP Plugin for WordPress: Connect Claude, ChatGPT & AI Agentsに情報の漏えいに関する脆弱性情報があります。影響を受ける条件を確認してください。", "sourceRisk": "本来公開しない情報を読み取られる可能性があります。", "guidance": { "schemaVersion": "1.0", "method": "structured", "reviewedAt": null, "reviewState": "unreviewed", "summary": "WSP MCP – Free MCP Plugin for WordPress: Connect Claude, ChatGPT & AI Agentsを使っている方が確認する情報です。公表文は「情報の漏えい」に関する問題を示しています。公開された対象範囲を下に日本語で示しています。", "risk": "本来見ることができない情報を、攻撃者に読み取られるおそれがあります。すべてのデータが漏れると決まったわけではなく、対象の情報と成立条件の確認が必要です。", "applicability": [ { "text": "最初に「WSP MCP – Free MCP Plugin for WordPress: Connect Claude, ChatGPT & AI Agents」を使っているか、開発元・製品名・バージョンを確認します。同じカテゴリの製品を使っているだけでは、この問題の対象とは限りません。", "kind": "check", "sourceUrls": [ "https://nvd.nist.gov/vuln/detail/CVE-2026-109382", "https://plugins.trac.wordpress.org/browser/wsp-mcp-ai-agents-connector/tags/2.9.5/includes/abilities/posts.php#L7", "https://plugins.trac.wordpress.org/browser/wsp-mcp-ai-agents-connector/tags/2.9.5/includes/server/class-auth.php#L123", "https://plugins.trac.wordpress.org/browser/wsp-mcp-ai-agents-connector/tags/2.9.5/includes/server/class-auth.php#L59", "https://plugins.trac.wordpress.org/browser/wsp-mcp-ai-agents-connector/tags/2.9.5/includes/server/class-mcp-server.php#L78", "https://plugins.trac.wordpress.org/browser/wsp-mcp-ai-agents-connector/tags/2.9.5/includes/tools/native-tools.php#L42", "https://plugins.trac.wordpress.org/changeset?reponame=&old=3743711%40wsp-mcp-ai-agents-connector&new=3743711%40wsp-mcp-ai-agents-connector", "https://www.wordfence.com/threat-intel/vulnerabilities/id/809eb78f-fd8e-4434-a36b-bb8e313cf264?source=cve" ] }, { "text": "公開データの対象範囲：WSP MCP – Free MCP Plugin for WordPress: Connect Claude, ChatGPT & AI Agents — 2.9.5以下。この範囲に加え、下に記載する権限・構成などの条件も照合してください。", "kind": "fact", "sourceUrls": [ "https://nvd.nist.gov/vuln/detail/CVE-2026-109382", "https://plugins.trac.wordpress.org/browser/wsp-mcp-ai-agents-connector/tags/2.9.5/includes/abilities/posts.php#L7", "https://plugins.trac.wordpress.org/browser/wsp-mcp-ai-agents-connector/tags/2.9.5/includes/server/class-auth.php#L123", "https://plugins.trac.wordpress.org/browser/wsp-mcp-ai-agents-connector/tags/2.9.5/includes/server/class-auth.php#L59", "https://plugins.trac.wordpress.org/browser/wsp-mcp-ai-agents-connector/tags/2.9.5/includes/server/class-mcp-server.php#L78", "https://plugins.trac.wordpress.org/browser/wsp-mcp-ai-agents-connector/tags/2.9.5/includes/tools/native-tools.php#L42", "https://plugins.trac.wordpress.org/changeset?reponame=&old=3743711%40wsp-mcp-ai-agents-connector&new=3743711%40wsp-mcp-ai-agents-connector", "https://www.wordfence.com/threat-intel/vulnerabilities/id/809eb78f-fd8e-4434-a36b-bb8e313cf264?source=cve" ] }, { "text": "公表されたCVSS評価では、攻撃者は事前に一般利用者程度の権限を持つ必要があります。WordPressの「購読者」「投稿者」などの具体的な役割は、この値だけでは分かりません。", "kind": "fact", "sourceUrls": [ "https://nvd.nist.gov/vuln/detail/CVE-2026-109382", "https://plugins.trac.wordpress.org/browser/wsp-mcp-ai-agents-connector/tags/2.9.5/includes/abilities/posts.php#L7", "https://plugins.trac.wordpress.org/browser/wsp-mcp-ai-agents-connector/tags/2.9.5/includes/server/class-auth.php#L123", "https://plugins.trac.wordpress.org/browser/wsp-mcp-ai-agents-connector/tags/2.9.5/includes/server/class-auth.php#L59", "https://plugins.trac.wordpress.org/browser/wsp-mcp-ai-agents-connector/tags/2.9.5/includes/server/class-mcp-server.php#L78", "https://plugins.trac.wordpress.org/browser/wsp-mcp-ai-agents-connector/tags/2.9.5/includes/tools/native-tools.php#L42", "https://plugins.trac.wordpress.org/changeset?reponame=&old=3743711%40wsp-mcp-ai-agents-connector&new=3743711%40wsp-mcp-ai-agents-connector", "https://www.wordfence.com/threat-intel/vulnerabilities/id/809eb78f-fd8e-4434-a36b-bb8e313cf264?source=cve", "https://www.first.org/cvss/v3.1/specification-document" ] }, { "text": "公表されたCVSS評価では、ネットワーク越しに攻撃が届く経路があります。あなたの環境がインターネットから到達可能かどうかは、公開設定を別に確認する必要があります。", "kind": "fact", "sourceUrls": [ "https://nvd.nist.gov/vuln/detail/CVE-2026-109382", "https://plugins.trac.wordpress.org/browser/wsp-mcp-ai-agents-connector/tags/2.9.5/includes/abilities/posts.php#L7", "https://plugins.trac.wordpress.org/browser/wsp-mcp-ai-agents-connector/tags/2.9.5/includes/server/class-auth.php#L123", "https://plugins.trac.wordpress.org/browser/wsp-mcp-ai-agents-connector/tags/2.9.5/includes/server/class-auth.php#L59", "https://plugins.trac.wordpress.org/browser/wsp-mcp-ai-agents-connector/tags/2.9.5/includes/server/class-mcp-server.php#L78", "https://plugins.trac.wordpress.org/browser/wsp-mcp-ai-agents-connector/tags/2.9.5/includes/tools/native-tools.php#L42", "https://plugins.trac.wordpress.org/changeset?reponame=&old=3743711%40wsp-mcp-ai-agents-connector&new=3743711%40wsp-mcp-ai-agents-connector", "https://www.wordfence.com/threat-intel/vulnerabilities/id/809eb78f-fd8e-4434-a36b-bb8e313cf264?source=cve", "https://www.first.org/cvss/v3.1/specification-document" ] }, { "text": "公表されたCVSS評価では、攻撃者以外の利用者がリンクを開くなどの操作をしなくても、攻撃が成立し得ます。", "kind": "fact", "sourceUrls": [ "https://nvd.nist.gov/vuln/detail/CVE-2026-109382", "https://plugins.trac.wordpress.org/browser/wsp-mcp-ai-agents-connector/tags/2.9.5/includes/abilities/posts.php#L7", "https://plugins.trac.wordpress.org/browser/wsp-mcp-ai-agents-connector/tags/2.9.5/includes/server/class-auth.php#L123", "https://plugins.trac.wordpress.org/browser/wsp-mcp-ai-agents-connector/tags/2.9.5/includes/server/class-auth.php#L59", "https://plugins.trac.wordpress.org/browser/wsp-mcp-ai-agents-connector/tags/2.9.5/includes/server/class-mcp-server.php#L78", "https://plugins.trac.wordpress.org/browser/wsp-mcp-ai-agents-connector/tags/2.9.5/includes/tools/native-tools.php#L42", "https://plugins.trac.wordpress.org/changeset?reponame=&old=3743711%40wsp-mcp-ai-agents-connector&new=3743711%40wsp-mcp-ai-agents-connector", "https://www.wordfence.com/threat-intel/vulnerabilities/id/809eb78f-fd8e-4434-a36b-bb8e313cf264?source=cve", "https://www.first.org/cvss/v3.1/specification-document" ] } ], "versionChecks": [ { "text": "WordPressの管理画面にログインし、「プラグイン」→「インストール済みプラグイン」を開きます。「WSP MCP – Free MCP Plugin for WordPress: Connect Claude, ChatGPT & AI Agents」と同じ製品名・開発元の項目を探し、表示されているバージョンを控えてください。停止中のプラグインも一覧に含めて確認します。", "kind": "procedure", "sourceUrls": [ "https://wordpress.org/documentation/article/plugins-screen/" ] }, { "text": "管理画面に入れない、または同じ名前の製品を判別できない場合は、下の問い合わせ文をサイトの制作会社・管理担当者に送ってください。名前が見つからないという理由だけで、安全とは判定しないでください。", "kind": "procedure", "sourceUrls": [ "https://wordpress.org/documentation/article/site-health-screen/", "https://wordpress.org/documentation/article/plugins-screen/" ] } ], "actions": [ { "text": "「CVE-2026-109382」と現在の版を管理担当者・提供元へ伝え、この問題に対応した修正版が提供されているか確認します。下の問い合わせ文に記入すれば、そのまま依頼できます。対象範囲の上限から修正版の番号を推測しないでください。", "kind": "procedure", "sourceUrls": [ "https://nvd.nist.gov/vuln/detail/CVE-2026-109382", "https://plugins.trac.wordpress.org/browser/wsp-mcp-ai-agents-connector/tags/2.9.5/includes/abilities/posts.php#L7", "https://plugins.trac.wordpress.org/browser/wsp-mcp-ai-agents-connector/tags/2.9.5/includes/server/class-auth.php#L123", "https://plugins.trac.wordpress.org/browser/wsp-mcp-ai-agents-connector/tags/2.9.5/includes/server/class-auth.php#L59", "https://plugins.trac.wordpress.org/browser/wsp-mcp-ai-agents-connector/tags/2.9.5/includes/server/class-mcp-server.php#L78", "https://plugins.trac.wordpress.org/browser/wsp-mcp-ai-agents-connector/tags/2.9.5/includes/tools/native-tools.php#L42", "https://plugins.trac.wordpress.org/changeset?reponame=&old=3743711%40wsp-mcp-ai-agents-connector&new=3743711%40wsp-mcp-ai-agents-connector", "https://www.wordfence.com/threat-intel/vulnerabilities/id/809eb78f-fd8e-4434-a36b-bb8e313cf264?source=cve" ] }, { "text": "ファイルとデータベースのバックアップを取り、管理画面の「ダッシュボード」→「更新」で該当プラグインの更新を実行します。更新が表示されない有料製品などは、購入先・開発元の正規の配布経路を利用してください。", "kind": "procedure", "sourceUrls": [ "https://wordpress.org/documentation/article/updating-wordpress/", "https://wordpress.org/documentation/article/dashboard-updates-screen/", "https://wordpress.org/documentation/article/manage-plugins/" ] } ], "temporaryMitigations": [ { "text": "更新できない場合は、対象機能の停止や公開範囲の制限が使えるかを管理担当者と検討し、実施内容と更新予定日を記録してください。プラグインの「無効化」だけでこの脆弱性を防げるかは個別に確認が必要です。", "kind": "procedure", "sourceUrls": [ "https://wordpress.org/documentation/article/plugins-screen/", "https://nvd.nist.gov/vuln/detail/CVE-2026-109382", "https://plugins.trac.wordpress.org/browser/wsp-mcp-ai-agents-connector/tags/2.9.5/includes/abilities/posts.php#L7", "https://plugins.trac.wordpress.org/browser/wsp-mcp-ai-agents-connector/tags/2.9.5/includes/server/class-auth.php#L123", "https://plugins.trac.wordpress.org/browser/wsp-mcp-ai-agents-connector/tags/2.9.5/includes/server/class-auth.php#L59", "https://plugins.trac.wordpress.org/browser/wsp-mcp-ai-agents-connector/tags/2.9.5/includes/server/class-mcp-server.php#L78", "https://plugins.trac.wordpress.org/browser/wsp-mcp-ai-agents-connector/tags/2.9.5/includes/tools/native-tools.php#L42", "https://plugins.trac.wordpress.org/changeset?reponame=&old=3743711%40wsp-mcp-ai-agents-connector&new=3743711%40wsp-mcp-ai-agents-connector", "https://www.wordfence.com/threat-intel/vulnerabilities/id/809eb78f-fd8e-4434-a36b-bb8e313cf264?source=cve" ] } ], "verification": [ { "text": "更新後に同じ管理画面を開き直してバージョンを記録します。修正対象の系列・版と一致するかを照合し、サイト表示、ログイン、フォームや購入など普段使う主要な操作も確認してください。更新ボタンを押しただけでは完了としないでください。", "kind": "procedure", "sourceUrls": [ "https://wordpress.org/documentation/article/updating-wordpress/", "https://wordpress.org/documentation/article/dashboard-updates-screen/" ] } ], "unknowns": [ "取り込んだ公開データには、修正済みと明記されたバージョン番号がありません。「修正されていない」と確定したわけではありません。下の問い合わせ文で、修正版の番号・提供場所・適用予定を確認できます。" ], "supportRequest": "件名：CVE-2026-109382（WSP MCP – Free MCP Plugin for WordPress: Connect Claude, ChatGPT & AI Agents）の影響と対応状況の確認\n\n利用中のサイト・機器・サービス：[記入してください]\n製品名・開発元：[記入してください]\n現在のバージョン・ビルド番号：[不明なら「不明」と記入]\n\nCVE-2026-109382について、次を教えてください。\n1. この環境は対象ですか。対象外の場合は、版・設定・機能などの判断理由を教えてください。\n2. 対象の場合、修正を含む版・パッケージ番号と、更新方法を教えてください。古い版に修正を取り込んでいる場合は、このCVEへの対応状況を教えてください。\n3. いつ対応できますか。再起動・停止時間・事前のバックアップや確認作業は必要ですか。\n4. すぐ更新できない場合、正式な回避策とその限界・副作用を教えてください。利用を続けてよい条件も知りたいです。\n5. 対応完了後、修正を確認できる版・設定・対応日時を連絡してください。\n\n確認している情報：https://zeijaku.ittrip.xyz/vulnerabilities/CVE-2026-109382", "sources": [ { "url": "https://nvd.nist.gov/vuln/detail/CVE-2026-109382", "label": "NVDの原文" }, { "url": "https://plugins.trac.wordpress.org/browser/wsp-mcp-ai-agents-connector/tags/2.9.5/includes/abilities/posts.php#L7", "label": "security@wordfence.com" }, { "url": "https://plugins.trac.wordpress.org/browser/wsp-mcp-ai-agents-connector/tags/2.9.5/includes/server/class-auth.php#L123", "label": "security@wordfence.com" }, { "url": "https://plugins.trac.wordpress.org/browser/wsp-mcp-ai-agents-connector/tags/2.9.5/includes/server/class-auth.php#L59", "label": "security@wordfence.com" }, { "url": "https://plugins.trac.wordpress.org/browser/wsp-mcp-ai-agents-connector/tags/2.9.5/includes/server/class-mcp-server.php#L78", "label": "security@wordfence.com" }, { "url": "https://plugins.trac.wordpress.org/browser/wsp-mcp-ai-agents-connector/tags/2.9.5/includes/tools/native-tools.php#L42", "label": "security@wordfence.com" }, { "url": "https://plugins.trac.wordpress.org/changeset?reponame=&old=3743711%40wsp-mcp-ai-agents-connector&new=3743711%40wsp-mcp-ai-agents-connector", "label": "security@wordfence.com" }, { "url": "https://www.wordfence.com/threat-intel/vulnerabilities/id/809eb78f-fd8e-4434-a36b-bb8e313cf264?source=cve", "label": "security@wordfence.com" }, { "url": "https://www.first.org/cvss/v3.1/specification-document", "label": "FIRST公式：CVSS 3.1の条件の定義" }, { "url": "https://wordpress.org/documentation/article/plugins-screen/", "label": "WordPress公式：プラグイン一覧" }, { "url": "https://wordpress.org/documentation/article/site-health-screen/", "label": "WordPress公式：サイトヘルスの情報" }, { "url": "https://wordpress.org/documentation/article/updating-wordpress/", "label": "WordPress公式：本体の更新" }, { "url": "https://wordpress.org/documentation/article/dashboard-updates-screen/", "label": "WordPress公式：更新画面" }, { "url": "https://wordpress.org/documentation/article/manage-plugins/", "label": "WordPress公式：プラグインの確認と更新" } ] } }, { "id": "CVE-2026-109193", "aliases": [], "title": "HivePress – Business Directory, Listings & Classified Ads Plugin：ブラウザー上での不正な処理", "summary": "HivePress – Business Directory, Listings & Classified Ads Pluginを使っている方が確認する情報です。公表文は「ブラウザー上での不正な処理」に関する問題を示しています。公開された対象範囲を下に日本語で示しています。", "risk": "攻撃者が用意した内容を表示した利用者のブラウザーで、不正なプログラムが動くおそれがあります。表示の書き換えや、利用者の権限を悪用する操作につながり得ます。", "product": "HivePress – Business Directory, Listings & Classified Ads Plugin", "category": "wordpress", "component": "plugin", "severity": "high", "cvss": 7.2, "cvssVersion": "3.1", "cvssSource": "security@wordfence.com", "cvssVector": "CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:L/I:L/A:N", "affected": [ { "product": "HivePress – Business Directory, Listings & Classified Ads Plugin", "range": "<= 1.7.32" } ], "fixed": [], "steps": [ "「CVE-2026-109193」と現在の版を管理担当者・提供元へ伝え、この問題に対応した修正版が提供されているか確認します。下の問い合わせ文に記入すれば、そのまま依頼できます。対象範囲の上限から修正版の番号を推測しないでください。", "ファイルとデータベースのバックアップを取り、管理画面の「ダッシュボード」→「更新」で該当プラグインの更新を実行します。更新が表示されない有料製品などは、購入先・開発元の正規の配布経路を利用してください。" ], "references": [ { "url": "https://nvd.nist.gov/vuln/detail/CVE-2026-109193", "label": "NVDの原文" }, { "url": "https://github.com/hivepress/hivepress/pull/375/changes/60df383473ff4b7a85f24b06895ec236edf20c9d", "label": "security@wordfence.com" }, { "url": "https://plugins.trac.wordpress.org/browser/hivepress/tags/1.7.32/includes/components/class-attribute.php#L1199", "label": "security@wordfence.com" }, { "url": "https://plugins.trac.wordpress.org/browser/hivepress/tags/1.7.32/includes/components/class-attribute.php#L1293", "label": "security@wordfence.com" }, { "url": "https://plugins.trac.wordpress.org/browser/hivepress/tags/1.7.32/includes/controllers/class-user.php#L292", "label": "security@wordfence.com" }, { "url": "https://plugins.trac.wordpress.org/browser/hivepress/tags/1.7.32/includes/fields/class-field.php#L572", "label": "security@wordfence.com" }, { "url": "https://plugins.trac.wordpress.org/browser/hivepress/tags/1.7.32/includes/fields/class-text.php#L197", "label": "security@wordfence.com" }, { "url": "https://plugins.trac.wordpress.org/browser/hivepress/tags/1.7.32/includes/fields/class-text.php#L214", "label": "security@wordfence.com" }, { "url": "https://plugins.trac.wordpress.org/changeset/3747070/hivepress/trunk/includes/fields/class-field.php", "label": "security@wordfence.com" }, { "url": "https://www.wordfence.com/threat-intel/vulnerabilities/id/d2c3752b-0d2f-402d-bdbf-fb3fd76cf558?source=cve", "label": "security@wordfence.com" }, { "url": "https://www.first.org/cvss/v3.1/specification-document", "label": "FIRST公式：CVSS 3.1の条件の定義" }, { "url": "https://wordpress.org/documentation/article/plugins-screen/", "label": "WordPress公式：プラグイン一覧" }, { "url": "https://wordpress.org/documentation/article/site-health-screen/", "label": "WordPress公式：サイトヘルスの情報" }, { "url": "https://wordpress.org/documentation/article/updating-wordpress/", "label": "WordPress公式：本体の更新" }, { "url": "https://wordpress.org/documentation/article/dashboard-updates-screen/", "label": "WordPress公式：更新画面" }, { "url": "https://wordpress.org/documentation/article/manage-plugins/", "label": "WordPress公式：プラグインの確認と更新" } ], "publishedAt": "2026-10-16T07:17:09.417Z", "modifiedAt": "2026-10-16T15:17:06.587Z", "fetchedAt": "2026-10-22T22:09:30.689Z", "exploitStatus": "unknown", "sources": [ "NVD" ], "originalText": "The HivePress – Business Directory, Listings & Classified Ads Plugin plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the ' (e.g. hp_custom_link)' parameter in all versions up to, and including, 1.7.32 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. Exploitation requires that an administrator has configured a custom user attribute with a display_format template placing the %value% token inside an href, src, or style attribute context, which is a documented and expected use of the plugin's attribute display feature.", "sourceTitle": "CVE-2026-109193", "summaryMethod": "公開データの対象範囲・CVSS条件を日本語化し、製品ごとの一般的な操作手順を補足しています。個別の全文翻訳・環境診断ではありません。", "state": "published", "affectedDetails": [ { "vendor": "hivepress", "product": "HivePress – Business Directory, Listings & Classified Ads Plugin", "defaultStatus": "unaffected", "versions": [ { "version": "0", "lessThanOrEqual": "1.7.32", "versionType": "semver", "status": "affected" } ] } ], "sourceSnapshots": [ { "source": "NVD", "modifiedAt": "2026-10-16T15:17:06.587Z", "fetchedAt": "2026-10-22T22:09:30.689Z", "state": "published" } ], "sourceSummary": "HivePress – Business Directory, Listings & Classified Ads Pluginにブラウザー上での不正な処理に関する脆弱性情報があります。影響を受ける条件を確認してください。", "sourceRisk": "利用者のブラウザー上で不正なスクリプトが動く可能性があります。成立条件は原文を確認してください。", "guidance": { "schemaVersion": "1.0", "method": "structured", "reviewedAt": null, "reviewState": "unreviewed", "summary": "HivePress – Business Directory, Listings & Classified Ads Pluginを使っている方が確認する情報です。公表文は「ブラウザー上での不正な処理」に関する問題を示しています。公開された対象範囲を下に日本語で示しています。", "risk": "攻撃者が用意した内容を表示した利用者のブラウザーで、不正なプログラムが動くおそれがあります。表示の書き換えや、利用者の権限を悪用する操作につながり得ます。", "applicability": [ { "text": "最初に「HivePress – Business Directory, Listings & Classified Ads Plugin」を使っているか、開発元・製品名・バージョンを確認します。同じカテゴリの製品を使っているだけでは、この問題の対象とは限りません。", "kind": "check", "sourceUrls": [ "https://nvd.nist.gov/vuln/detail/CVE-2026-109193", "https://github.com/hivepress/hivepress/pull/375/changes/60df383473ff4b7a85f24b06895ec236edf20c9d", "https://plugins.trac.wordpress.org/browser/hivepress/tags/1.7.32/includes/components/class-attribute.php#L1199", "https://plugins.trac.wordpress.org/browser/hivepress/tags/1.7.32/includes/components/class-attribute.php#L1293", "https://plugins.trac.wordpress.org/browser/hivepress/tags/1.7.32/includes/controllers/class-user.php#L292", "https://plugins.trac.wordpress.org/browser/hivepress/tags/1.7.32/includes/fields/class-field.php#L572", "https://plugins.trac.wordpress.org/browser/hivepress/tags/1.7.32/includes/fields/class-text.php#L197", "https://plugins.trac.wordpress.org/browser/hivepress/tags/1.7.32/includes/fields/class-text.php#L214", "https://plugins.trac.wordpress.org/changeset/3747070/hivepress/trunk/includes/fields/class-field.php", "https://www.wordfence.com/threat-intel/vulnerabilities/id/d2c3752b-0d2f-402d-bdbf-fb3fd76cf558?source=cve" ] }, { "text": "公開データの対象範囲：HivePress – Business Directory, Listings & Classified Ads Plugin — 1.7.32以下。この範囲に加え、下に記載する権限・構成などの条件も照合してください。", "kind": "fact", "sourceUrls": [ "https://nvd.nist.gov/vuln/detail/CVE-2026-109193", "https://github.com/hivepress/hivepress/pull/375/changes/60df383473ff4b7a85f24b06895ec236edf20c9d", "https://plugins.trac.wordpress.org/browser/hivepress/tags/1.7.32/includes/components/class-attribute.php#L1199", "https://plugins.trac.wordpress.org/browser/hivepress/tags/1.7.32/includes/components/class-attribute.php#L1293", "https://plugins.trac.wordpress.org/browser/hivepress/tags/1.7.32/includes/controllers/class-user.php#L292", "https://plugins.trac.wordpress.org/browser/hivepress/tags/1.7.32/includes/fields/class-field.php#L572", "https://plugins.trac.wordpress.org/browser/hivepress/tags/1.7.32/includes/fields/class-text.php#L197", "https://plugins.trac.wordpress.org/browser/hivepress/tags/1.7.32/includes/fields/class-text.php#L214", "https://plugins.trac.wordpress.org/changeset/3747070/hivepress/trunk/includes/fields/class-field.php", "https://www.wordfence.com/threat-intel/vulnerabilities/id/d2c3752b-0d2f-402d-bdbf-fb3fd76cf558?source=cve" ] }, { "text": "公表されたCVSS評価では、攻撃前に対象システムの権限を持っている必要はありません。他の構成・機能の条件まで不要という意味ではありません。", "kind": "fact", "sourceUrls": [ "https://nvd.nist.gov/vuln/detail/CVE-2026-109193", "https://github.com/hivepress/hivepress/pull/375/changes/60df383473ff4b7a85f24b06895ec236edf20c9d", "https://plugins.trac.wordpress.org/browser/hivepress/tags/1.7.32/includes/components/class-attribute.php#L1199", "https://plugins.trac.wordpress.org/browser/hivepress/tags/1.7.32/includes/components/class-attribute.php#L1293", "https://plugins.trac.wordpress.org/browser/hivepress/tags/1.7.32/includes/controllers/class-user.php#L292", "https://plugins.trac.wordpress.org/browser/hivepress/tags/1.7.32/includes/fields/class-field.php#L572", "https://plugins.trac.wordpress.org/browser/hivepress/tags/1.7.32/includes/fields/class-text.php#L197", "https://plugins.trac.wordpress.org/browser/hivepress/tags/1.7.32/includes/fields/class-text.php#L214", "https://plugins.trac.wordpress.org/changeset/3747070/hivepress/trunk/includes/fields/class-field.php", "https://www.wordfence.com/threat-intel/vulnerabilities/id/d2c3752b-0d2f-402d-bdbf-fb3fd76cf558?source=cve", "https://www.first.org/cvss/v3.1/specification-document" ] }, { "text": "公表されたCVSS評価では、ネットワーク越しに攻撃が届く経路があります。あなたの環境がインターネットから到達可能かどうかは、公開設定を別に確認する必要があります。", "kind": "fact", "sourceUrls": [ "https://nvd.nist.gov/vuln/detail/CVE-2026-109193", "https://github.com/hivepress/hivepress/pull/375/changes/60df383473ff4b7a85f24b06895ec236edf20c9d", "https://plugins.trac.wordpress.org/browser/hivepress/tags/1.7.32/includes/components/class-attribute.php#L1199", "https://plugins.trac.wordpress.org/browser/hivepress/tags/1.7.32/includes/components/class-attribute.php#L1293", "https://plugins.trac.wordpress.org/browser/hivepress/tags/1.7.32/includes/controllers/class-user.php#L292", "https://plugins.trac.wordpress.org/browser/hivepress/tags/1.7.32/includes/fields/class-field.php#L572", "https://plugins.trac.wordpress.org/browser/hivepress/tags/1.7.32/includes/fields/class-text.php#L197", "https://plugins.trac.wordpress.org/browser/hivepress/tags/1.7.32/includes/fields/class-text.php#L214", "https://plugins.trac.wordpress.org/changeset/3747070/hivepress/trunk/includes/fields/class-field.php", "https://www.wordfence.com/threat-intel/vulnerabilities/id/d2c3752b-0d2f-402d-bdbf-fb3fd76cf558?source=cve", "https://www.first.org/cvss/v3.1/specification-document" ] }, { "text": "公表されたCVSS評価では、攻撃者以外の利用者がリンクを開くなどの操作をしなくても、攻撃が成立し得ます。", "kind": "fact", "sourceUrls": [ "https://nvd.nist.gov/vuln/detail/CVE-2026-109193", "https://github.com/hivepress/hivepress/pull/375/changes/60df383473ff4b7a85f24b06895ec236edf20c9d", "https://plugins.trac.wordpress.org/browser/hivepress/tags/1.7.32/includes/components/class-attribute.php#L1199", "https://plugins.trac.wordpress.org/browser/hivepress/tags/1.7.32/includes/components/class-attribute.php#L1293", "https://plugins.trac.wordpress.org/browser/hivepress/tags/1.7.32/includes/controllers/class-user.php#L292", "https://plugins.trac.wordpress.org/browser/hivepress/tags/1.7.32/includes/fields/class-field.php#L572", "https://plugins.trac.wordpress.org/browser/hivepress/tags/1.7.32/includes/fields/class-text.php#L197", "https://plugins.trac.wordpress.org/browser/hivepress/tags/1.7.32/includes/fields/class-text.php#L214", "https://plugins.trac.wordpress.org/changeset/3747070/hivepress/trunk/includes/fields/class-field.php", "https://www.wordfence.com/threat-intel/vulnerabilities/id/d2c3752b-0d2f-402d-bdbf-fb3fd76cf558?source=cve", "https://www.first.org/cvss/v3.1/specification-document" ] } ], "versionChecks": [ { "text": "WordPressの管理画面にログインし、「プラグイン」→「インストール済みプラグイン」を開きます。「HivePress – Business Directory, Listings & Classified Ads Plugin」と同じ製品名・開発元の項目を探し、表示されているバージョンを控えてください。停止中のプラグインも一覧に含めて確認します。", "kind": "procedure", "sourceUrls": [ "https://wordpress.org/documentation/article/plugins-screen/" ] }, { "text": "管理画面に入れない、または同じ名前の製品を判別できない場合は、下の問い合わせ文をサイトの制作会社・管理担当者に送ってください。名前が見つからないという理由だけで、安全とは判定しないでください。", "kind": "procedure", "sourceUrls": [ "https://wordpress.org/documentation/article/site-health-screen/", "https://wordpress.org/documentation/article/plugins-screen/" ] } ], "actions": [ { "text": "「CVE-2026-109193」と現在の版を管理担当者・提供元へ伝え、この問題に対応した修正版が提供されているか確認します。下の問い合わせ文に記入すれば、そのまま依頼できます。対象範囲の上限から修正版の番号を推測しないでください。", "kind": "procedure", "sourceUrls": [ "https://nvd.nist.gov/vuln/detail/CVE-2026-109193", "https://github.com/hivepress/hivepress/pull/375/changes/60df383473ff4b7a85f24b06895ec236edf20c9d", "https://plugins.trac.wordpress.org/browser/hivepress/tags/1.7.32/includes/components/class-attribute.php#L1199", "https://plugins.trac.wordpress.org/browser/hivepress/tags/1.7.32/includes/components/class-attribute.php#L1293", "https://plugins.trac.wordpress.org/browser/hivepress/tags/1.7.32/includes/controllers/class-user.php#L292", "https://plugins.trac.wordpress.org/browser/hivepress/tags/1.7.32/includes/fields/class-field.php#L572", "https://plugins.trac.wordpress.org/browser/hivepress/tags/1.7.32/includes/fields/class-text.php#L197", "https://plugins.trac.wordpress.org/browser/hivepress/tags/1.7.32/includes/fields/class-text.php#L214", "https://plugins.trac.wordpress.org/changeset/3747070/hivepress/trunk/includes/fields/class-field.php", "https://www.wordfence.com/threat-intel/vulnerabilities/id/d2c3752b-0d2f-402d-bdbf-fb3fd76cf558?source=cve" ] }, { "text": "ファイルとデータベースのバックアップを取り、管理画面の「ダッシュボード」→「更新」で該当プラグインの更新を実行します。更新が表示されない有料製品などは、購入先・開発元の正規の配布経路を利用してください。", "kind": "procedure", "sourceUrls": [ "https://wordpress.org/documentation/article/updating-wordpress/", "https://wordpress.org/documentation/article/dashboard-updates-screen/", "https://wordpress.org/documentation/article/manage-plugins/" ] } ], "temporaryMitigations": [ { "text": "更新できない場合は、対象機能の停止や公開範囲の制限が使えるかを管理担当者と検討し、実施内容と更新予定日を記録してください。プラグインの「無効化」だけでこの脆弱性を防げるかは個別に確認が必要です。", "kind": "procedure", "sourceUrls": [ "https://wordpress.org/documentation/article/plugins-screen/", "https://nvd.nist.gov/vuln/detail/CVE-2026-109193", "https://github.com/hivepress/hivepress/pull/375/changes/60df383473ff4b7a85f24b06895ec236edf20c9d", "https://plugins.trac.wordpress.org/browser/hivepress/tags/1.7.32/includes/components/class-attribute.php#L1199", "https://plugins.trac.wordpress.org/browser/hivepress/tags/1.7.32/includes/components/class-attribute.php#L1293", "https://plugins.trac.wordpress.org/browser/hivepress/tags/1.7.32/includes/controllers/class-user.php#L292", "https://plugins.trac.wordpress.org/browser/hivepress/tags/1.7.32/includes/fields/class-field.php#L572", "https://plugins.trac.wordpress.org/browser/hivepress/tags/1.7.32/includes/fields/class-text.php#L197", "https://plugins.trac.wordpress.org/browser/hivepress/tags/1.7.32/includes/fields/class-text.php#L214", "https://plugins.trac.wordpress.org/changeset/3747070/hivepress/trunk/includes/fields/class-field.php", "https://www.wordfence.com/threat-intel/vulnerabilities/id/d2c3752b-0d2f-402d-bdbf-fb3fd76cf558?source=cve" ] } ], "verification": [ { "text": "更新後に同じ管理画面を開き直してバージョンを記録します。修正対象の系列・版と一致するかを照合し、サイト表示、ログイン、フォームや購入など普段使う主要な操作も確認してください。更新ボタンを押しただけでは完了としないでください。", "kind": "procedure", "sourceUrls": [ "https://wordpress.org/documentation/article/updating-wordpress/", "https://wordpress.org/documentation/article/dashboard-updates-screen/" ] } ], "unknowns": [ "取り込んだ公開データには、修正済みと明記されたバージョン番号がありません。「修正されていない」と確定したわけではありません。下の問い合わせ文で、修正版の番号・提供場所・適用予定を確認できます。" ], "supportRequest": "件名：CVE-2026-109193（HivePress – Business Directory, Listings & Classified Ads Plugin）の影響と対応状況の確認\n\n利用中のサイト・機器・サービス：[記入してください]\n製品名・開発元：[記入してください]\n現在のバージョン・ビルド番号：[不明なら「不明」と記入]\n\nCVE-2026-109193について、次を教えてください。\n1. この環境は対象ですか。対象外の場合は、版・設定・機能などの判断理由を教えてください。\n2. 対象の場合、修正を含む版・パッケージ番号と、更新方法を教えてください。古い版に修正を取り込んでいる場合は、このCVEへの対応状況を教えてください。\n3. いつ対応できますか。再起動・停止時間・事前のバックアップや確認作業は必要ですか。\n4. すぐ更新できない場合、正式な回避策とその限界・副作用を教えてください。利用を続けてよい条件も知りたいです。\n5. 対応完了後、修正を確認できる版・設定・対応日時を連絡してください。\n\n確認している情報：https://zeijaku.ittrip.xyz/vulnerabilities/CVE-2026-109193", "sources": [ { "url": "https://nvd.nist.gov/vuln/detail/CVE-2026-109193", "label": "NVDの原文" }, { "url": "https://github.com/hivepress/hivepress/pull/375/changes/60df383473ff4b7a85f24b06895ec236edf20c9d", "label": "security@wordfence.com" }, { "url": "https://plugins.trac.wordpress.org/browser/hivepress/tags/1.7.32/includes/components/class-attribute.php#L1199", "label": "security@wordfence.com" }, { "url": "https://plugins.trac.wordpress.org/browser/hivepress/tags/1.7.32/includes/components/class-attribute.php#L1293", "label": "security@wordfence.com" }, { "url": "https://plugins.trac.wordpress.org/browser/hivepress/tags/1.7.32/includes/controllers/class-user.php#L292", "label": "security@wordfence.com" }, { "url": "https://plugins.trac.wordpress.org/browser/hivepress/tags/1.7.32/includes/fields/class-field.php#L572", "label": "security@wordfence.com" }, { "url": "https://plugins.trac.wordpress.org/browser/hivepress/tags/1.7.32/includes/fields/class-text.php#L197", "label": "security@wordfence.com" }, { "url": "https://plugins.trac.wordpress.org/browser/hivepress/tags/1.7.32/includes/fields/class-text.php#L214", "label": "security@wordfence.com" }, { "url": "https://plugins.trac.wordpress.org/changeset/3747070/hivepress/trunk/includes/fields/class-field.php", "label": "security@wordfence.com" }, { "url": "https://www.wordfence.com/threat-intel/vulnerabilities/id/d2c3752b-0d2f-402d-bdbf-fb3fd76cf558?source=cve", "label": "security@wordfence.com" }, { "url": "https://www.first.org/cvss/v3.1/specification-document", "label": "FIRST公式：CVSS 3.1の条件の定義" }, { "url": "https://wordpress.org/documentation/article/plugins-screen/", "label": "WordPress公式：プラグイン一覧" }, { "url": "https://wordpress.org/documentation/article/site-health-screen/", "label": "WordPress公式：サイトヘルスの情報" }, { "url": "https://wordpress.org/documentation/article/updating-wordpress/", "label": "WordPress公式：本体の更新" }, { "url": "https://wordpress.org/documentation/article/dashboard-updates-screen/", "label": "WordPress公式：更新画面" }, { "url": "https://wordpress.org/documentation/article/manage-plugins/", "label": "WordPress公式：プラグインの確認と更新" } ] } }, { "id": "CVE-2026-107770", "aliases": [], "title": "Photo Engine (Media Organizer & Lightroom)：脆弱性情報", "summary": "Photo Engine (Media Organizer & Lightroom)を使っている方が確認する情報です。製品名と版を確認し、提供元にこの番号への対応状況を問い合わせてください。公開された対象範囲を下に日本語で示しています。", "risk": "具体的な被害の種類を、取り込んだ情報から正確に整理できていません。製品を使っている場合は、CVE番号と利用中の版を添えて、影響と修正状況を提供元に確認してください。", "product": "Photo Engine (Media Organizer & Lightroom)", "category": "wordpress", "component": "plugin", "severity": "medium", "cvss": 6.8, "cvssVersion": "3.1", "cvssSource": "security@wordfence.com", "cvssVector": "CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:N/I:H/A:H", "affected": [ { "product": "Photo Engine (Media Organizer & Lightroom)", "range": "<= 6.5.6" } ], "fixed": [], "steps": [ "「CVE-2026-107770」と現在の版を管理担当者・提供元へ伝え、この問題に対応した修正版が提供されているか確認します。下の問い合わせ文に記入すれば、そのまま依頼できます。対象範囲の上限から修正版の番号を推測しないでください。", "ファイルとデータベースのバックアップを取り、管理画面の「ダッシュボード」→「更新」で該当プラグインの更新を実行します。更新が表示されない有料製品などは、購入先・開発元の正規の配布経路を利用してください。" ], "references": [ { "url": "https://nvd.nist.gov/vuln/detail/CVE-2026-107770", "label": "NVDの原文" }, { "url": "https://plugins.trac.wordpress.org/browser/wplr-sync/tags/6.5.6/classes/admin.php#L155", "label": "security@wordfence.com" }, { "url": "https://plugins.trac.wordpress.org/browser/wplr-sync/tags/6.5.6/classes/admin.php#L56", "label": "security@wordfence.com" }, { "url": "https://plugins.trac.wordpress.org/browser/wplr-sync/tags/6.5.6/classes/api.php#L116", "label": "security@wordfence.com" }, { "url": "https://plugins.trac.wordpress.org/browser/wplr-sync/tags/6.5.6/classes/api.php#L201", "label": "security@wordfence.com" }, { "url": "https://plugins.trac.wordpress.org/browser/wplr-sync/tags/6.5.6/classes/api.php#L309", "label": "security@wordfence.com" }, { "url": "https://plugins.trac.wordpress.org/browser/wplr-sync/tags/6.5.6/classes/api.php#L32", "label": "security@wordfence.com" }, { "url": "https://plugins.trac.wordpress.org/browser/wplr-sync/tags/6.5.6/classes/core.php#L923", "label": "security@wordfence.com" }, { "url": "https://plugins.trac.wordpress.org/changeset/3737477/wplr-sync", "label": "security@wordfence.com" }, { "url": "https://plugins.trac.wordpress.org/changeset/3737477/wplr-sync/trunk/classes/api.php", "label": "security@wordfence.com" }, { "url": "https://www.wordfence.com/threat-intel/vulnerabilities/id/2f32c361-9bb3-417b-a5a9-02e48bfa33b4?source=cve", "label": "security@wordfence.com" }, { "url": "https://www.first.org/cvss/v3.1/specification-document", "label": "FIRST公式：CVSS 3.1の条件の定義" }, { "url": "https://wordpress.org/documentation/article/plugins-screen/", "label": "WordPress公式：プラグイン一覧" }, { "url": "https://wordpress.org/documentation/article/site-health-screen/", "label": "WordPress公式：サイトヘルスの情報" }, { "url": "https://wordpress.org/documentation/article/updating-wordpress/", "label": "WordPress公式：本体の更新" }, { "url": "https://wordpress.org/documentation/article/dashboard-updates-screen/", "label": "WordPress公式：更新画面" }, { "url": "https://wordpress.org/documentation/article/manage-plugins/", "label": "WordPress公式：プラグインの確認と更新" } ], "publishedAt": "2026-10-16T07:17:09.253Z", "modifiedAt": "2026-10-16T15:17:05.870Z", "fetchedAt": "2026-10-22T22:09:15.099Z", "exploitStatus": "unknown", "sources": [ "NVD" ], "originalText": "The Photo Engine (Media Organizer & Lightroom) plugin for WordPress is vulnerable to authorization bypass in all versions up to, and including, 6.5.6 This is due to the plugin not properly verifying that a user is authorized to perform an action. This makes it possible for unauthenticated attackers to permanently delete arbitrary media attachments via wp_delete_attachment and upload new attachments to the site, actions that require the upload_files or edit_others_posts capabilities. A Subscriber-level user can obtain their own wplr_auth_token directly from the profile.php page source, because the admin screen guard in Meow_WPLR_Sync_Admin::__construct() is commented out, causing wp_localize_script to leak the token into every admin page view; this token can then be used from a cookie-less HTTP session to invoke destructive actions on the /?wplr-sync-api endpoint.", "sourceTitle": "CVE-2026-107770", "summaryMethod": "公開データの対象範囲・CVSS条件を日本語化し、製品ごとの一般的な操作手順を補足しています。個別の全文翻訳・環境診断ではありません。", "state": "published", "affectedDetails": [ { "vendor": "tigroumeow", "product": "Photo Engine (Media Organizer & Lightroom)", "defaultStatus": "unaffected", "versions": [ { "version": "0", "lessThanOrEqual": "6.5.6", "versionType": "semver", "status": "affected" } ] } ], "sourceSnapshots": [ { "source": "NVD", "modifiedAt": "2026-10-16T15:17:05.870Z", "fetchedAt": "2026-10-22T22:09:15.099Z", "state": "published" } ], "sourceSummary": "Photo Engine (Media Organizer & Lightroom)に脆弱性情報に関する脆弱性情報があります。影響を受ける条件を確認してください。", "sourceRisk": "影響と攻撃の成立条件は、リンク先の公式情報で確認してください。", "guidance": { "schemaVersion": "1.0", "method": "structured", "reviewedAt": null, "reviewState": "unreviewed", "summary": "Photo Engine (Media Organizer & Lightroom)を使っている方が確認する情報です。製品名と版を確認し、提供元にこの番号への対応状況を問い合わせてください。公開された対象範囲を下に日本語で示しています。", "risk": "具体的な被害の種類を、取り込んだ情報から正確に整理できていません。製品を使っている場合は、CVE番号と利用中の版を添えて、影響と修正状況を提供元に確認してください。", "applicability": [ { "text": "最初に「Photo Engine (Media Organizer & Lightroom)」を使っているか、開発元・製品名・バージョンを確認します。同じカテゴリの製品を使っているだけでは、この問題の対象とは限りません。", "kind": "check", "sourceUrls": [ "https://nvd.nist.gov/vuln/detail/CVE-2026-107770", "https://plugins.trac.wordpress.org/browser/wplr-sync/tags/6.5.6/classes/admin.php#L155", "https://plugins.trac.wordpress.org/browser/wplr-sync/tags/6.5.6/classes/admin.php#L56", "https://plugins.trac.wordpress.org/browser/wplr-sync/tags/6.5.6/classes/api.php#L116", "https://plugins.trac.wordpress.org/browser/wplr-sync/tags/6.5.6/classes/api.php#L201", "https://plugins.trac.wordpress.org/browser/wplr-sync/tags/6.5.6/classes/api.php#L309", "https://plugins.trac.wordpress.org/browser/wplr-sync/tags/6.5.6/classes/api.php#L32", "https://plugins.trac.wordpress.org/browser/wplr-sync/tags/6.5.6/classes/core.php#L923", "https://plugins.trac.wordpress.org/changeset/3737477/wplr-sync", "https://plugins.trac.wordpress.org/changeset/3737477/wplr-sync/trunk/classes/api.php", "https://www.wordfence.com/threat-intel/vulnerabilities/id/2f32c361-9bb3-417b-a5a9-02e48bfa33b4?source=cve" ] }, { "text": "公開データの対象範囲：Photo Engine (Media Organizer & Lightroom) — 6.5.6以下。この範囲に加え、下に記載する権限・構成などの条件も照合してください。", "kind": "fact", "sourceUrls": [ "https://nvd.nist.gov/vuln/detail/CVE-2026-107770", "https://plugins.trac.wordpress.org/browser/wplr-sync/tags/6.5.6/classes/admin.php#L155", "https://plugins.trac.wordpress.org/browser/wplr-sync/tags/6.5.6/classes/admin.php#L56", "https://plugins.trac.wordpress.org/browser/wplr-sync/tags/6.5.6/classes/api.php#L116", "https://plugins.trac.wordpress.org/browser/wplr-sync/tags/6.5.6/classes/api.php#L201", "https://plugins.trac.wordpress.org/browser/wplr-sync/tags/6.5.6/classes/api.php#L309", "https://plugins.trac.wordpress.org/browser/wplr-sync/tags/6.5.6/classes/api.php#L32", "https://plugins.trac.wordpress.org/browser/wplr-sync/tags/6.5.6/classes/core.php#L923", "https://plugins.trac.wordpress.org/changeset/3737477/wplr-sync", "https://plugins.trac.wordpress.org/changeset/3737477/wplr-sync/trunk/classes/api.php", "https://www.wordfence.com/threat-intel/vulnerabilities/id/2f32c361-9bb3-417b-a5a9-02e48bfa33b4?source=cve" ] }, { "text": "公表されたCVSS評価では、攻撃前に対象システムの権限を持っている必要はありません。他の構成・機能の条件まで不要という意味ではありません。", "kind": "fact", "sourceUrls": [ "https://nvd.nist.gov/vuln/detail/CVE-2026-107770", "https://plugins.trac.wordpress.org/browser/wplr-sync/tags/6.5.6/classes/admin.php#L155", "https://plugins.trac.wordpress.org/browser/wplr-sync/tags/6.5.6/classes/admin.php#L56", "https://plugins.trac.wordpress.org/browser/wplr-sync/tags/6.5.6/classes/api.php#L116", "https://plugins.trac.wordpress.org/browser/wplr-sync/tags/6.5.6/classes/api.php#L201", "https://plugins.trac.wordpress.org/browser/wplr-sync/tags/6.5.6/classes/api.php#L309", "https://plugins.trac.wordpress.org/browser/wplr-sync/tags/6.5.6/classes/api.php#L32", "https://plugins.trac.wordpress.org/browser/wplr-sync/tags/6.5.6/classes/core.php#L923", "https://plugins.trac.wordpress.org/changeset/3737477/wplr-sync", "https://plugins.trac.wordpress.org/changeset/3737477/wplr-sync/trunk/classes/api.php", "https://www.wordfence.com/threat-intel/vulnerabilities/id/2f32c361-9bb3-417b-a5a9-02e48bfa33b4?source=cve", "https://www.first.org/cvss/v3.1/specification-document" ] }, { "text": "公表されたCVSS評価では、ネットワーク越しに攻撃が届く経路があります。あなたの環境がインターネットから到達可能かどうかは、公開設定を別に確認する必要があります。", "kind": "fact", "sourceUrls": [ "https://nvd.nist.gov/vuln/detail/CVE-2026-107770", "https://plugins.trac.wordpress.org/browser/wplr-sync/tags/6.5.6/classes/admin.php#L155", "https://plugins.trac.wordpress.org/browser/wplr-sync/tags/6.5.6/classes/admin.php#L56", "https://plugins.trac.wordpress.org/browser/wplr-sync/tags/6.5.6/classes/api.php#L116", "https://plugins.trac.wordpress.org/browser/wplr-sync/tags/6.5.6/classes/api.php#L201", "https://plugins.trac.wordpress.org/browser/wplr-sync/tags/6.5.6/classes/api.php#L309", "https://plugins.trac.wordpress.org/browser/wplr-sync/tags/6.5.6/classes/api.php#L32", "https://plugins.trac.wordpress.org/browser/wplr-sync/tags/6.5.6/classes/core.php#L923", "https://plugins.trac.wordpress.org/changeset/3737477/wplr-sync", "https://plugins.trac.wordpress.org/changeset/3737477/wplr-sync/trunk/classes/api.php", "https://www.wordfence.com/threat-intel/vulnerabilities/id/2f32c361-9bb3-417b-a5a9-02e48bfa33b4?source=cve", "https://www.first.org/cvss/v3.1/specification-document" ] }, { "text": "公表されたCVSS評価では、攻撃者とは別の利用者の操作が必要です。どの画面・ファイル・操作が関係するかは、個別条件に記載された内容を照合してください。", "kind": "fact", "sourceUrls": [ "https://nvd.nist.gov/vuln/detail/CVE-2026-107770", "https://plugins.trac.wordpress.org/browser/wplr-sync/tags/6.5.6/classes/admin.php#L155", "https://plugins.trac.wordpress.org/browser/wplr-sync/tags/6.5.6/classes/admin.php#L56", "https://plugins.trac.wordpress.org/browser/wplr-sync/tags/6.5.6/classes/api.php#L116", "https://plugins.trac.wordpress.org/browser/wplr-sync/tags/6.5.6/classes/api.php#L201", "https://plugins.trac.wordpress.org/browser/wplr-sync/tags/6.5.6/classes/api.php#L309", "https://plugins.trac.wordpress.org/browser/wplr-sync/tags/6.5.6/classes/api.php#L32", "https://plugins.trac.wordpress.org/browser/wplr-sync/tags/6.5.6/classes/core.php#L923", "https://plugins.trac.wordpress.org/changeset/3737477/wplr-sync", "https://plugins.trac.wordpress.org/changeset/3737477/wplr-sync/trunk/classes/api.php", "https://www.wordfence.com/threat-intel/vulnerabilities/id/2f32c361-9bb3-417b-a5a9-02e48bfa33b4?source=cve", "https://www.first.org/cvss/v3.1/specification-document" ] } ], "versionChecks": [ { "text": "WordPressの管理画面にログインし、「プラグイン」→「インストール済みプラグイン」を開きます。「Photo Engine (Media Organizer & Lightroom)」と同じ製品名・開発元の項目を探し、表示されているバージョンを控えてください。停止中のプラグインも一覧に含めて確認します。", "kind": "procedure", "sourceUrls": [ "https://wordpress.org/documentation/article/plugins-screen/" ] }, { "text": "管理画面に入れない、または同じ名前の製品を判別できない場合は、下の問い合わせ文をサイトの制作会社・管理担当者に送ってください。名前が見つからないという理由だけで、安全とは判定しないでください。", "kind": "procedure", "sourceUrls": [ "https://wordpress.org/documentation/article/site-health-screen/", "https://wordpress.org/documentation/article/plugins-screen/" ] } ], "actions": [ { "text": "「CVE-2026-107770」と現在の版を管理担当者・提供元へ伝え、この問題に対応した修正版が提供されているか確認します。下の問い合わせ文に記入すれば、そのまま依頼できます。対象範囲の上限から修正版の番号を推測しないでください。", "kind": "procedure", "sourceUrls": [ "https://nvd.nist.gov/vuln/detail/CVE-2026-107770", "https://plugins.trac.wordpress.org/browser/wplr-sync/tags/6.5.6/classes/admin.php#L155", "https://plugins.trac.wordpress.org/browser/wplr-sync/tags/6.5.6/classes/admin.php#L56", "https://plugins.trac.wordpress.org/browser/wplr-sync/tags/6.5.6/classes/api.php#L116", "https://plugins.trac.wordpress.org/browser/wplr-sync/tags/6.5.6/classes/api.php#L201", "https://plugins.trac.wordpress.org/browser/wplr-sync/tags/6.5.6/classes/api.php#L309", "https://plugins.trac.wordpress.org/browser/wplr-sync/tags/6.5.6/classes/api.php#L32", "https://plugins.trac.wordpress.org/browser/wplr-sync/tags/6.5.6/classes/core.php#L923", "https://plugins.trac.wordpress.org/changeset/3737477/wplr-sync", "https://plugins.trac.wordpress.org/changeset/3737477/wplr-sync/trunk/classes/api.php", "https://www.wordfence.com/threat-intel/vulnerabilities/id/2f32c361-9bb3-417b-a5a9-02e48bfa33b4?source=cve" ] }, { "text": "ファイルとデータベースのバックアップを取り、管理画面の「ダッシュボード」→「更新」で該当プラグインの更新を実行します。更新が表示されない有料製品などは、購入先・開発元の正規の配布経路を利用してください。", "kind": "procedure", "sourceUrls": [ "https://wordpress.org/documentation/article/updating-wordpress/", "https://wordpress.org/documentation/article/dashboard-updates-screen/", "https://wordpress.org/documentation/article/manage-plugins/" ] } ], "temporaryMitigations": [ { "text": "更新できない場合は、対象機能の停止や公開範囲の制限が使えるかを管理担当者と検討し、実施内容と更新予定日を記録してください。プラグインの「無効化」だけでこの脆弱性を防げるかは個別に確認が必要です。", "kind": "procedure", "sourceUrls": [ "https://wordpress.org/documentation/article/plugins-screen/", "https://nvd.nist.gov/vuln/detail/CVE-2026-107770", "https://plugins.trac.wordpress.org/browser/wplr-sync/tags/6.5.6/classes/admin.php#L155", "https://plugins.trac.wordpress.org/browser/wplr-sync/tags/6.5.6/classes/admin.php#L56", "https://plugins.trac.wordpress.org/browser/wplr-sync/tags/6.5.6/classes/api.php#L116", "https://plugins.trac.wordpress.org/browser/wplr-sync/tags/6.5.6/classes/api.php#L201", "https://plugins.trac.wordpress.org/browser/wplr-sync/tags/6.5.6/classes/api.php#L309", "https://plugins.trac.wordpress.org/browser/wplr-sync/tags/6.5.6/classes/api.php#L32", "https://plugins.trac.wordpress.org/browser/wplr-sync/tags/6.5.6/classes/core.php#L923", "https://plugins.trac.wordpress.org/changeset/3737477/wplr-sync", "https://plugins.trac.wordpress.org/changeset/3737477/wplr-sync/trunk/classes/api.php", "https://www.wordfence.com/threat-intel/vulnerabilities/id/2f32c361-9bb3-417b-a5a9-02e48bfa33b4?source=cve" ] } ], "verification": [ { "text": "更新後に同じ管理画面を開き直してバージョンを記録します。修正対象の系列・版と一致するかを照合し、サイト表示、ログイン、フォームや購入など普段使う主要な操作も確認してください。更新ボタンを押しただけでは完了としないでください。", "kind": "procedure", "sourceUrls": [ "https://wordpress.org/documentation/article/updating-wordpress/", "https://wordpress.org/documentation/article/dashboard-updates-screen/" ] } ], "unknowns": [ "取り込んだ公開データには、修正済みと明記されたバージョン番号がありません。「修正されていない」と確定したわけではありません。下の問い合わせ文で、修正版の番号・提供場所・適用予定を確認できます。" ], "supportRequest": "件名：CVE-2026-107770（Photo Engine (Media Organizer & Lightroom)）の影響と対応状況の確認\n\n利用中のサイト・機器・サービス：[記入してください]\n製品名・開発元：[記入してください]\n現在のバージョン・ビルド番号：[不明なら「不明」と記入]\n\nCVE-2026-107770について、次を教えてください。\n1. この環境は対象ですか。対象外の場合は、版・設定・機能などの判断理由を教えてください。\n2. 対象の場合、修正を含む版・パッケージ番号と、更新方法を教えてください。古い版に修正を取り込んでいる場合は、このCVEへの対応状況を教えてください。\n3. いつ対応できますか。再起動・停止時間・事前のバックアップや確認作業は必要ですか。\n4. すぐ更新できない場合、正式な回避策とその限界・副作用を教えてください。利用を続けてよい条件も知りたいです。\n5. 対応完了後、修正を確認できる版・設定・対応日時を連絡してください。\n\n確認している情報：https://zeijaku.ittrip.xyz/vulnerabilities/CVE-2026-107770", "sources": [ { "url": "https://nvd.nist.gov/vuln/detail/CVE-2026-107770", "label": "NVDの原文" }, { "url": "https://plugins.trac.wordpress.org/browser/wplr-sync/tags/6.5.6/classes/admin.php#L155", "label": "security@wordfence.com" }, { "url": "https://plugins.trac.wordpress.org/browser/wplr-sync/tags/6.5.6/classes/admin.php#L56", "label": "security@wordfence.com" }, { "url": "https://plugins.trac.wordpress.org/browser/wplr-sync/tags/6.5.6/classes/api.php#L116", "label": "security@wordfence.com" }, { "url": "https://plugins.trac.wordpress.org/browser/wplr-sync/tags/6.5.6/classes/api.php#L201", "label": "security@wordfence.com" }, { "url": "https://plugins.trac.wordpress.org/browser/wplr-sync/tags/6.5.6/classes/api.php#L309", "label": "security@wordfence.com" }, { "url": "https://plugins.trac.wordpress.org/browser/wplr-sync/tags/6.5.6/classes/api.php#L32", "label": "security@wordfence.com" }, { "url": "https://plugins.trac.wordpress.org/browser/wplr-sync/tags/6.5.6/classes/core.php#L923", "label": "security@wordfence.com" }, { "url": "https://plugins.trac.wordpress.org/changeset/3737477/wplr-sync", "label": "security@wordfence.com" }, { "url": "https://plugins.trac.wordpress.org/changeset/3737477/wplr-sync/trunk/classes/api.php", "label": "security@wordfence.com" }, { "url": "https://www.wordfence.com/threat-intel/vulnerabilities/id/2f32c361-9bb3-417b-a5a9-02e48bfa33b4?source=cve", "label": "security@wordfence.com" }, { "url": "https://www.first.org/cvss/v3.1/specification-document", "label": "FIRST公式：CVSS 3.1の条件の定義" }, { "url": "https://wordpress.org/documentation/article/plugins-screen/", "label": "WordPress公式：プラグイン一覧" }, { "url": "https://wordpress.org/documentation/article/site-health-screen/", "label": "WordPress公式：サイトヘルスの情報" }, { "url": "https://wordpress.org/documentation/article/updating-wordpress/", "label": "WordPress公式：本体の更新" }, { "url": "https://wordpress.org/documentation/article/dashboard-updates-screen/", "label": "WordPress公式：更新画面" }, { "url": "https://wordpress.org/documentation/article/manage-plugins/", "label": "WordPress公式：プラグインの確認と更新" } ] } }, { "id": "CVE-2026-107768", "aliases": [], "title": "TranslatePress – Translate Multilingual sites with AI Translation：ブラウザー上での不正な処理", "summary": "TranslatePress – Translate Multilingual sites with AI Translationを使っている方が確認する情報です。公表文は「ブラウザー上での不正な処理」に関する問題を示しています。公開された対象範囲を下に日本語で示しています。", "risk": "攻撃者が用意した内容を表示した利用者のブラウザーで、不正なプログラムが動くおそれがあります。表示の書き換えや、利用者の権限を悪用する操作につながり得ます。", "product": "TranslatePress – Translate Multilingual sites with AI Translation", "category": "wordpress", "component": "plugin", "severity": "high", "cvss": 7.2, "cvssVersion": "3.1", "cvssSource": "security@wordfence.com", "cvssVector": "CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:L/I:L/A:N", "affected": [ { "product": "TranslatePress – Translate Multilingual sites with AI Translation", "range": "<= 3.3.7" } ], "fixed": [], "steps": [ "「CVE-2026-107768」と現在の版を管理担当者・提供元へ伝え、この問題に対応した修正版が提供されているか確認します。下の問い合わせ文に記入すれば、そのまま依頼できます。対象範囲の上限から修正版の番号を推測しないでください。", "ファイルとデータベースのバックアップを取り、管理画面の「ダッシュボード」→「更新」で該当プラグインの更新を実行します。更新が表示されない有料製品などは、購入先・開発元の正規の配布経路を利用してください。" ], "references": [ { "url": "https://nvd.nist.gov/vuln/detail/CVE-2026-107768", "label": "NVDの原文" }, { "url": "https://plugins.trac.wordpress.org/browser/translatepress-multilingual/tags/3.3.7/includes/class-translation-render.php#L1355", "label": "security@wordfence.com" }, { "url": "https://plugins.trac.wordpress.org/browser/translatepress-multilingual/tags/3.3.7/includes/class-translation-render.php#L1655", "label": "security@wordfence.com" }, { "url": "https://plugins.trac.wordpress.org/browser/translatepress-multilingual/tags/3.3.7/includes/class-translation-render.php#L835", "label": "security@wordfence.com" }, { "url": "https://plugins.trac.wordpress.org/changeset/3744262/translatepress-multilingual/trunk/includes/class-translation-render.php", "label": "security@wordfence.com" }, { "url": "https://www.wordfence.com/threat-intel/vulnerabilities/id/5e9733d3-4097-4785-947c-db90a38795b3?source=cve", "label": "security@wordfence.com" }, { "url": "https://www.first.org/cvss/v3.1/specification-document", "label": "FIRST公式：CVSS 3.1の条件の定義" }, { "url": "https://wordpress.org/documentation/article/plugins-screen/", "label": "WordPress公式：プラグイン一覧" }, { "url": "https://wordpress.org/documentation/article/site-health-screen/", "label": "WordPress公式：サイトヘルスの情報" }, { "url": "https://wordpress.org/documentation/article/updating-wordpress/", "label": "WordPress公式：本体の更新" }, { "url": "https://wordpress.org/documentation/article/dashboard-updates-screen/", "label": "WordPress公式：更新画面" }, { "url": "https://wordpress.org/documentation/article/manage-plugins/", "label": "WordPress公式：プラグインの確認と更新" } ], "publishedAt": "2026-10-16T07:17:09.103Z", "modifiedAt": "2026-10-16T15:17:05.770Z", "fetchedAt": "2026-10-22T22:09:15.099Z", "exploitStatus": "unknown", "sources": [ "NVD" ], "originalText": "The TranslatePress – Translate Multilingual sites with AI Translation plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the 'comment' parameter in all versions up to, and including, 3.3.7 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. Exploitation requires the target site to allow unmoderated comment submission on at least one post and to have a secondary language configured — both conditions reflect TranslatePress's primary use case.", "sourceTitle": "CVE-2026-107768", "summaryMethod": "公開データの対象範囲・CVSS条件を日本語化し、製品ごとの一般的な操作手順を補足しています。個別の全文翻訳・環境診断ではありません。", "state": "published", "affectedDetails": [ { "vendor": "cozmoslabs", "product": "TranslatePress – Translate Multilingual sites with AI Translation", "defaultStatus": "unaffected", "versions": [ { "version": "0", "lessThanOrEqual": "3.3.7", "versionType": "semver", "status": "affected" } ] } ], "sourceSnapshots": [ { "source": "NVD", "modifiedAt": "2026-10-16T15:17:05.770Z", "fetchedAt": "2026-10-22T22:09:15.099Z", "state": "published" } ], "sourceSummary": "TranslatePress – Translate Multilingual sites with AI Translationにブラウザー上での不正な処理に関する脆弱性情報があります。影響を受ける条件を確認してください。", "sourceRisk": "利用者のブラウザー上で不正なスクリプトが動く可能性があります。成立条件は原文を確認してください。", "guidance": { "schemaVersion": "1.0", "method": "structured", "reviewedAt": null, "reviewState": "unreviewed", "summary": "TranslatePress – Translate Multilingual sites with AI Translationを使っている方が確認する情報です。公表文は「ブラウザー上での不正な処理」に関する問題を示しています。公開された対象範囲を下に日本語で示しています。", "risk": "攻撃者が用意した内容を表示した利用者のブラウザーで、不正なプログラムが動くおそれがあります。表示の書き換えや、利用者の権限を悪用する操作につながり得ます。", "applicability": [ { "text": "最初に「TranslatePress – Translate Multilingual sites with AI Translation」を使っているか、開発元・製品名・バージョンを確認します。同じカテゴリの製品を使っているだけでは、この問題の対象とは限りません。", "kind": "check", "sourceUrls": [ "https://nvd.nist.gov/vuln/detail/CVE-2026-107768", "https://plugins.trac.wordpress.org/browser/translatepress-multilingual/tags/3.3.7/includes/class-translation-render.php#L1355", "https://plugins.trac.wordpress.org/browser/translatepress-multilingual/tags/3.3.7/includes/class-translation-render.php#L1655", "https://plugins.trac.wordpress.org/browser/translatepress-multilingual/tags/3.3.7/includes/class-translation-render.php#L835", "https://plugins.trac.wordpress.org/changeset/3744262/translatepress-multilingual/trunk/includes/class-translation-render.php", "https://www.wordfence.com/threat-intel/vulnerabilities/id/5e9733d3-4097-4785-947c-db90a38795b3?source=cve" ] }, { "text": "公開データの対象範囲：TranslatePress – Translate Multilingual sites with AI Translation — 3.3.7以下。この範囲に加え、下に記載する権限・構成などの条件も照合してください。", "kind": "fact", "sourceUrls": [ "https://nvd.nist.gov/vuln/detail/CVE-2026-107768", "https://plugins.trac.wordpress.org/browser/translatepress-multilingual/tags/3.3.7/includes/class-translation-render.php#L1355", "https://plugins.trac.wordpress.org/browser/translatepress-multilingual/tags/3.3.7/includes/class-translation-render.php#L1655", "https://plugins.trac.wordpress.org/browser/translatepress-multilingual/tags/3.3.7/includes/class-translation-render.php#L835", "https://plugins.trac.wordpress.org/changeset/3744262/translatepress-multilingual/trunk/includes/class-translation-render.php", "https://www.wordfence.com/threat-intel/vulnerabilities/id/5e9733d3-4097-4785-947c-db90a38795b3?source=cve" ] }, { "text": "公表されたCVSS評価では、攻撃前に対象システムの権限を持っている必要はありません。他の構成・機能の条件まで不要という意味ではありません。", "kind": "fact", "sourceUrls": [ "https://nvd.nist.gov/vuln/detail/CVE-2026-107768", "https://plugins.trac.wordpress.org/browser/translatepress-multilingual/tags/3.3.7/includes/class-translation-render.php#L1355", "https://plugins.trac.wordpress.org/browser/translatepress-multilingual/tags/3.3.7/includes/class-translation-render.php#L1655", "https://plugins.trac.wordpress.org/browser/translatepress-multilingual/tags/3.3.7/includes/class-translation-render.php#L835", "https://plugins.trac.wordpress.org/changeset/3744262/translatepress-multilingual/trunk/includes/class-translation-render.php", "https://www.wordfence.com/threat-intel/vulnerabilities/id/5e9733d3-4097-4785-947c-db90a38795b3?source=cve", "https://www.first.org/cvss/v3.1/specification-document" ] }, { "text": "公表されたCVSS評価では、ネットワーク越しに攻撃が届く経路があります。あなたの環境がインターネットから到達可能かどうかは、公開設定を別に確認する必要があります。", "kind": "fact", "sourceUrls": [ "https://nvd.nist.gov/vuln/detail/CVE-2026-107768", "https://plugins.trac.wordpress.org/browser/translatepress-multilingual/tags/3.3.7/includes/class-translation-render.php#L1355", "https://plugins.trac.wordpress.org/browser/translatepress-multilingual/tags/3.3.7/includes/class-translation-render.php#L1655", "https://plugins.trac.wordpress.org/browser/translatepress-multilingual/tags/3.3.7/includes/class-translation-render.php#L835", "https://plugins.trac.wordpress.org/changeset/3744262/translatepress-multilingual/trunk/includes/class-translation-render.php", "https://www.wordfence.com/threat-intel/vulnerabilities/id/5e9733d3-4097-4785-947c-db90a38795b3?source=cve", "https://www.first.org/cvss/v3.1/specification-document" ] }, { "text": "公表されたCVSS評価では、攻撃者以外の利用者がリンクを開くなどの操作をしなくても、攻撃が成立し得ます。", "kind": "fact", "sourceUrls": [ "https://nvd.nist.gov/vuln/detail/CVE-2026-107768", "https://plugins.trac.wordpress.org/browser/translatepress-multilingual/tags/3.3.7/includes/class-translation-render.php#L1355", "https://plugins.trac.wordpress.org/browser/translatepress-multilingual/tags/3.3.7/includes/class-translation-render.php#L1655", "https://plugins.trac.wordpress.org/browser/translatepress-multilingual/tags/3.3.7/includes/class-translation-render.php#L835", "https://plugins.trac.wordpress.org/changeset/3744262/translatepress-multilingual/trunk/includes/class-translation-render.php", "https://www.wordfence.com/threat-intel/vulnerabilities/id/5e9733d3-4097-4785-947c-db90a38795b3?source=cve", "https://www.first.org/cvss/v3.1/specification-document" ] } ], "versionChecks": [ { "text": "WordPressの管理画面にログインし、「プラグイン」→「インストール済みプラグイン」を開きます。「TranslatePress – Translate Multilingual sites with AI Translation」と同じ製品名・開発元の項目を探し、表示されているバージョンを控えてください。停止中のプラグインも一覧に含めて確認します。", "kind": "procedure", "sourceUrls": [ "https://wordpress.org/documentation/article/plugins-screen/" ] }, { "text": "管理画面に入れない、または同じ名前の製品を判別できない場合は、下の問い合わせ文をサイトの制作会社・管理担当者に送ってください。名前が見つからないという理由だけで、安全とは判定しないでください。", "kind": "procedure", "sourceUrls": [ "https://wordpress.org/documentation/article/site-health-screen/", "https://wordpress.org/documentation/article/plugins-screen/" ] } ], "actions": [ { "text": "「CVE-2026-107768」と現在の版を管理担当者・提供元へ伝え、この問題に対応した修正版が提供されているか確認します。下の問い合わせ文に記入すれば、そのまま依頼できます。対象範囲の上限から修正版の番号を推測しないでください。", "kind": "procedure", "sourceUrls": [ "https://nvd.nist.gov/vuln/detail/CVE-2026-107768", "https://plugins.trac.wordpress.org/browser/translatepress-multilingual/tags/3.3.7/includes/class-translation-render.php#L1355", "https://plugins.trac.wordpress.org/browser/translatepress-multilingual/tags/3.3.7/includes/class-translation-render.php#L1655", "https://plugins.trac.wordpress.org/browser/translatepress-multilingual/tags/3.3.7/includes/class-translation-render.php#L835", "https://plugins.trac.wordpress.org/changeset/3744262/translatepress-multilingual/trunk/includes/class-translation-render.php", "https://www.wordfence.com/threat-intel/vulnerabilities/id/5e9733d3-4097-4785-947c-db90a38795b3?source=cve" ] }, { "text": "ファイルとデータベースのバックアップを取り、管理画面の「ダッシュボード」→「更新」で該当プラグインの更新を実行します。更新が表示されない有料製品などは、購入先・開発元の正規の配布経路を利用してください。", "kind": "procedure", "sourceUrls": [ "https://wordpress.org/documentation/article/updating-wordpress/", "https://wordpress.org/documentation/article/dashboard-updates-screen/", "https://wordpress.org/documentation/article/manage-plugins/" ] } ], "temporaryMitigations": [ { "text": "更新できない場合は、対象機能の停止や公開範囲の制限が使えるかを管理担当者と検討し、実施内容と更新予定日を記録してください。プラグインの「無効化」だけでこの脆弱性を防げるかは個別に確認が必要です。", "kind": "procedure", "sourceUrls": [ "https://wordpress.org/documentation/article/plugins-screen/", "https://nvd.nist.gov/vuln/detail/CVE-2026-107768", "https://plugins.trac.wordpress.org/browser/translatepress-multilingual/tags/3.3.7/includes/class-translation-render.php#L1355", "https://plugins.trac.wordpress.org/browser/translatepress-multilingual/tags/3.3.7/includes/class-translation-render.php#L1655", "https://plugins.trac.wordpress.org/browser/translatepress-multilingual/tags/3.3.7/includes/class-translation-render.php#L835", "https://plugins.trac.wordpress.org/changeset/3744262/translatepress-multilingual/trunk/includes/class-translation-render.php", "https://www.wordfence.com/threat-intel/vulnerabilities/id/5e9733d3-4097-4785-947c-db90a38795b3?source=cve" ] } ], "verification": [ { "text": "更新後に同じ管理画面を開き直してバージョンを記録します。修正対象の系列・版と一致するかを照合し、サイト表示、ログイン、フォームや購入など普段使う主要な操作も確認してください。更新ボタンを押しただけでは完了としないでください。", "kind": "procedure", "sourceUrls": [ "https://wordpress.org/documentation/article/updating-wordpress/", "https://wordpress.org/documentation/article/dashboard-updates-screen/" ] } ], "unknowns": [ "取り込んだ公開データには、修正済みと明記されたバージョン番号がありません。「修正されていない」と確定したわけではありません。下の問い合わせ文で、修正版の番号・提供場所・適用予定を確認できます。" ], "supportRequest": "件名：CVE-2026-107768（TranslatePress – Translate Multilingual sites with AI Translation）の影響と対応状況の確認\n\n利用中のサイト・機器・サービス：[記入してください]\n製品名・開発元：[記入してください]\n現在のバージョン・ビルド番号：[不明なら「不明」と記入]\n\nCVE-2026-107768について、次を教えてください。\n1. この環境は対象ですか。対象外の場合は、版・設定・機能などの判断理由を教えてください。\n2. 対象の場合、修正を含む版・パッケージ番号と、更新方法を教えてください。古い版に修正を取り込んでいる場合は、このCVEへの対応状況を教えてください。\n3. いつ対応できますか。再起動・停止時間・事前のバックアップや確認作業は必要ですか。\n4. すぐ更新できない場合、正式な回避策とその限界・副作用を教えてください。利用を続けてよい条件も知りたいです。\n5. 対応完了後、修正を確認できる版・設定・対応日時を連絡してください。\n\n確認している情報：https://zeijaku.ittrip.xyz/vulnerabilities/CVE-2026-107768", "sources": [ { "url": "https://nvd.nist.gov/vuln/detail/CVE-2026-107768", "label": "NVDの原文" }, { "url": "https://plugins.trac.wordpress.org/browser/translatepress-multilingual/tags/3.3.7/includes/class-translation-render.php#L1355", "label": "security@wordfence.com" }, { "url": "https://plugins.trac.wordpress.org/browser/translatepress-multilingual/tags/3.3.7/includes/class-translation-render.php#L1655", "label": "security@wordfence.com" }, { "url": "https://plugins.trac.wordpress.org/browser/translatepress-multilingual/tags/3.3.7/includes/class-translation-render.php#L835", "label": "security@wordfence.com" }, { "url": "https://plugins.trac.wordpress.org/changeset/3744262/translatepress-multilingual/trunk/includes/class-translation-render.php", "label": "security@wordfence.com" }, { "url": "https://www.wordfence.com/threat-intel/vulnerabilities/id/5e9733d3-4097-4785-947c-db90a38795b3?source=cve", "label": "security@wordfence.com" }, { "url": "https://www.first.org/cvss/v3.1/specification-document", "label": "FIRST公式：CVSS 3.1の条件の定義" }, { "url": "https://wordpress.org/documentation/article/plugins-screen/", "label": "WordPress公式：プラグイン一覧" }, { "url": "https://wordpress.org/documentation/article/site-health-screen/", "label": "WordPress公式：サイトヘルスの情報" }, { "url": "https://wordpress.org/documentation/article/updating-wordpress/", "label": "WordPress公式：本体の更新" }, { "url": "https://wordpress.org/documentation/article/dashboard-updates-screen/", "label": "WordPress公式：更新画面" }, { "url": "https://wordpress.org/documentation/article/manage-plugins/", "label": "WordPress公式：プラグインの確認と更新" } ] } }, { "id": "CVE-2026-107646", "aliases": [], "title": "HUSKY – Products Filter for WooCommerce Professional：情報の漏えい", "summary": "HUSKY – Products Filter for WooCommerce Professionalを使っている方が確認する情報です。公表文は「情報の漏えい」に関する問題を示しています。公開された対象範囲を下に日本語で示しています。", "risk": "本来見ることができない情報を、攻撃者に読み取られるおそれがあります。すべてのデータが漏れると決まったわけではなく、対象の情報と成立条件の確認が必要です。", "product": "HUSKY – Products Filter for WooCommerce Professional", "category": "wordpress", "component": "plugin", "severity": "medium", "cvss": 5.3, "cvssVersion": "3.1", "cvssSource": "security@wordfence.com", "cvssVector": "CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N", "affected": [ { "product": "HUSKY – Products Filter for WooCommerce Professional", "range": "<= 1.4.5" } ], "fixed": [], "steps": [ "「CVE-2026-107646」と現在の版を管理担当者・提供元へ伝え、この問題に対応した修正版が提供されているか確認します。下の問い合わせ文に記入すれば、そのまま依頼できます。対象範囲の上限から修正版の番号を推測しないでください。", "ファイルとデータベースのバックアップを取り、管理画面の「ダッシュボード」→「更新」で該当プラグインの更新を実行します。更新が表示されない有料製品などは、購入先・開発元の正規の配布経路を利用してください。" ], "references": [ { "url": "https://nvd.nist.gov/vuln/detail/CVE-2026-107646", "label": "NVDの原文" }, { "url": "https://plugins.svn.wordpress.org/woocommerce-products-filter/trunk/ext/turbo_mode/index.php", "label": "security@wordfence.com" }, { "url": "https://plugins.trac.wordpress.org/browser/woocommerce-products-filter/trunk/ext/stat/views/tabs_content.php#L292", "label": "security@wordfence.com" }, { "url": "https://plugins.trac.wordpress.org/browser/woocommerce-products-filter/trunk/ext/turbo_mode/index.php#L177", "label": "security@wordfence.com" }, { "url": "https://plugins.trac.wordpress.org/browser/woocommerce-products-filter/trunk/ext/turbo_mode/index.php#L187", "label": "security@wordfence.com" }, { "url": "https://plugins.trac.wordpress.org/browser/woocommerce-products-filter/trunk/ext/turbo_mode/index.php#L93", "label": "security@wordfence.com" }, { "url": "https://www.wordfence.com/threat-intel/vulnerabilities/id/1186aca4-012b-4512-9ab3-166b9f84d725?source=cve", "label": "security@wordfence.com" }, { "url": "https://www.first.org/cvss/v3.1/specification-document", "label": "FIRST公式：CVSS 3.1の条件の定義" }, { "url": "https://wordpress.org/documentation/article/plugins-screen/", "label": "WordPress公式：プラグイン一覧" }, { "url": "https://wordpress.org/documentation/article/site-health-screen/", "label": "WordPress公式：サイトヘルスの情報" }, { "url": "https://wordpress.org/documentation/article/updating-wordpress/", "label": "WordPress公式：本体の更新" }, { "url": "https://wordpress.org/documentation/article/dashboard-updates-screen/", "label": "WordPress公式：更新画面" }, { "url": "https://wordpress.org/documentation/article/manage-plugins/", "label": "WordPress公式：プラグインの確認と更新" } ], "publishedAt": "2026-10-16T07:17:08.940Z", "modifiedAt": "2026-10-16T15:17:05.130Z", "fetchedAt": "2026-10-22T22:09:15.099Z", "exploitStatus": "unknown", "sources": [ "NVD" ], "originalText": "The HUSKY – Products Filter for WooCommerce Professional plugin for WordPress is vulnerable to Sensitive Information Exposure in all versions up to, and including, 1.4.5 via the 'woof_settings[woof_stat][server_options]' parameter. This makes it possible for unauthenticated attackers to extract the external MySQL host, database name, username, and plaintext password stored in woof_settings[woof_stat][server_options] from the inline woof_tm_data script object on any public frontend filter page. This is only exploitable when an administrator has enabled the Statistics extension, saved external MySQL connection credentials, and enabled Turbo Mode — all supported, documented plugin configurations.", "sourceTitle": "CVE-2026-107646", "summaryMethod": "公開データの対象範囲・CVSS条件を日本語化し、製品ごとの一般的な操作手順を補足しています。個別の全文翻訳・環境診断ではありません。", "state": "published", "affectedDetails": [ { "vendor": "realmag777", "product": "HUSKY – Products Filter for WooCommerce Professional", "defaultStatus": "unaffected", "versions": [ { "version": "0", "lessThanOrEqual": "1.4.5", "versionType": "semver", "status": "affected" } ] } ], "sourceSnapshots": [ { "source": "NVD", "modifiedAt": "2026-10-16T15:17:05.130Z", "fetchedAt": "2026-10-22T22:09:15.099Z", "state": "published" } ], "sourceSummary": "HUSKY – Products Filter for WooCommerce Professionalに情報の漏えいに関する脆弱性情報があります。影響を受ける条件を確認してください。", "sourceRisk": "本来公開しない情報を読み取られる可能性があります。", "guidance": { "schemaVersion": "1.0", "method": "structured", "reviewedAt": null, "reviewState": "unreviewed", "summary": "HUSKY – Products Filter for WooCommerce Professionalを使っている方が確認する情報です。公表文は「情報の漏えい」に関する問題を示しています。公開された対象範囲を下に日本語で示しています。", "risk": "本来見ることができない情報を、攻撃者に読み取られるおそれがあります。すべてのデータが漏れると決まったわけではなく、対象の情報と成立条件の確認が必要です。", "applicability": [ { "text": "最初に「HUSKY – Products Filter for WooCommerce Professional」を使っているか、開発元・製品名・バージョンを確認します。同じカテゴリの製品を使っているだけでは、この問題の対象とは限りません。", "kind": "check", "sourceUrls": [ "https://nvd.nist.gov/vuln/detail/CVE-2026-107646", "https://plugins.svn.wordpress.org/woocommerce-products-filter/trunk/ext/turbo_mode/index.php", "https://plugins.trac.wordpress.org/browser/woocommerce-products-filter/trunk/ext/stat/views/tabs_content.php#L292", "https://plugins.trac.wordpress.org/browser/woocommerce-products-filter/trunk/ext/turbo_mode/index.php#L177", "https://plugins.trac.wordpress.org/browser/woocommerce-products-filter/trunk/ext/turbo_mode/index.php#L187", "https://plugins.trac.wordpress.org/browser/woocommerce-products-filter/trunk/ext/turbo_mode/index.php#L93", "https://www.wordfence.com/threat-intel/vulnerabilities/id/1186aca4-012b-4512-9ab3-166b9f84d725?source=cve" ] }, { "text": "公開データの対象範囲：HUSKY – Products Filter for WooCommerce Professional — 1.4.5以下。この範囲に加え、下に記載する権限・構成などの条件も照合してください。", "kind": "fact", "sourceUrls": [ "https://nvd.nist.gov/vuln/detail/CVE-2026-107646", "https://plugins.svn.wordpress.org/woocommerce-products-filter/trunk/ext/turbo_mode/index.php", "https://plugins.trac.wordpress.org/browser/woocommerce-products-filter/trunk/ext/stat/views/tabs_content.php#L292", "https://plugins.trac.wordpress.org/browser/woocommerce-products-filter/trunk/ext/turbo_mode/index.php#L177", "https://plugins.trac.wordpress.org/browser/woocommerce-products-filter/trunk/ext/turbo_mode/index.php#L187", "https://plugins.trac.wordpress.org/browser/woocommerce-products-filter/trunk/ext/turbo_mode/index.php#L93", "https://www.wordfence.com/threat-intel/vulnerabilities/id/1186aca4-012b-4512-9ab3-166b9f84d725?source=cve" ] }, { "text": "公表されたCVSS評価では、攻撃前に対象システムの権限を持っている必要はありません。他の構成・機能の条件まで不要という意味ではありません。", "kind": "fact", "sourceUrls": [ "https://nvd.nist.gov/vuln/detail/CVE-2026-107646", "https://plugins.svn.wordpress.org/woocommerce-products-filter/trunk/ext/turbo_mode/index.php", "https://plugins.trac.wordpress.org/browser/woocommerce-products-filter/trunk/ext/stat/views/tabs_content.php#L292", "https://plugins.trac.wordpress.org/browser/woocommerce-products-filter/trunk/ext/turbo_mode/index.php#L177", "https://plugins.trac.wordpress.org/browser/woocommerce-products-filter/trunk/ext/turbo_mode/index.php#L187", "https://plugins.trac.wordpress.org/browser/woocommerce-products-filter/trunk/ext/turbo_mode/index.php#L93", "https://www.wordfence.com/threat-intel/vulnerabilities/id/1186aca4-012b-4512-9ab3-166b9f84d725?source=cve", "https://www.first.org/cvss/v3.1/specification-document" ] }, { "text": "公表されたCVSS評価では、ネットワーク越しに攻撃が届く経路があります。あなたの環境がインターネットから到達可能かどうかは、公開設定を別に確認する必要があります。", "kind": "fact", "sourceUrls": [ "https://nvd.nist.gov/vuln/detail/CVE-2026-107646", "https://plugins.svn.wordpress.org/woocommerce-products-filter/trunk/ext/turbo_mode/index.php", "https://plugins.trac.wordpress.org/browser/woocommerce-products-filter/trunk/ext/stat/views/tabs_content.php#L292", "https://plugins.trac.wordpress.org/browser/woocommerce-products-filter/trunk/ext/turbo_mode/index.php#L177", "https://plugins.trac.wordpress.org/browser/woocommerce-products-filter/trunk/ext/turbo_mode/index.php#L187", "https://plugins.trac.wordpress.org/browser/woocommerce-products-filter/trunk/ext/turbo_mode/index.php#L93", "https://www.wordfence.com/threat-intel/vulnerabilities/id/1186aca4-012b-4512-9ab3-166b9f84d725?source=cve", "https://www.first.org/cvss/v3.1/specification-document" ] }, { "text": "公表されたCVSS評価では、攻撃者以外の利用者がリンクを開くなどの操作をしなくても、攻撃が成立し得ます。", "kind": "fact", "sourceUrls": [ "https://nvd.nist.gov/vuln/detail/CVE-2026-107646", "https://plugins.svn.wordpress.org/woocommerce-products-filter/trunk/ext/turbo_mode/index.php", "https://plugins.trac.wordpress.org/browser/woocommerce-products-filter/trunk/ext/stat/views/tabs_content.php#L292", "https://plugins.trac.wordpress.org/browser/woocommerce-products-filter/trunk/ext/turbo_mode/index.php#L177", "https://plugins.trac.wordpress.org/browser/woocommerce-products-filter/trunk/ext/turbo_mode/index.php#L187", "https://plugins.trac.wordpress.org/browser/woocommerce-products-filter/trunk/ext/turbo_mode/index.php#L93", "https://www.wordfence.com/threat-intel/vulnerabilities/id/1186aca4-012b-4512-9ab3-166b9f84d725?source=cve", "https://www.first.org/cvss/v3.1/specification-document" ] } ], "versionChecks": [ { "text": "WordPressの管理画面にログインし、「プラグイン」→「インストール済みプラグイン」を開きます。「HUSKY – Products Filter for WooCommerce Professional」と同じ製品名・開発元の項目を探し、表示されているバージョンを控えてください。停止中のプラグインも一覧に含めて確認します。", "kind": "procedure", "sourceUrls": [ "https://wordpress.org/documentation/article/plugins-screen/" ] }, { "text": "管理画面に入れない、または同じ名前の製品を判別できない場合は、下の問い合わせ文をサイトの制作会社・管理担当者に送ってください。名前が見つからないという理由だけで、安全とは判定しないでください。", "kind": "procedure", "sourceUrls": [ "https://wordpress.org/documentation/article/site-health-screen/", "https://wordpress.org/documentation/article/plugins-screen/" ] } ], "actions": [ { "text": "「CVE-2026-107646」と現在の版を管理担当者・提供元へ伝え、この問題に対応した修正版が提供されているか確認します。下の問い合わせ文に記入すれば、そのまま依頼できます。対象範囲の上限から修正版の番号を推測しないでください。", "kind": "procedure", "sourceUrls": [ "https://nvd.nist.gov/vuln/detail/CVE-2026-107646", "https://plugins.svn.wordpress.org/woocommerce-products-filter/trunk/ext/turbo_mode/index.php", "https://plugins.trac.wordpress.org/browser/woocommerce-products-filter/trunk/ext/stat/views/tabs_content.php#L292", "https://plugins.trac.wordpress.org/browser/woocommerce-products-filter/trunk/ext/turbo_mode/index.php#L177", "https://plugins.trac.wordpress.org/browser/woocommerce-products-filter/trunk/ext/turbo_mode/index.php#L187", "https://plugins.trac.wordpress.org/browser/woocommerce-products-filter/trunk/ext/turbo_mode/index.php#L93", "https://www.wordfence.com/threat-intel/vulnerabilities/id/1186aca4-012b-4512-9ab3-166b9f84d725?source=cve" ] }, { "text": "ファイルとデータベースのバックアップを取り、管理画面の「ダッシュボード」→「更新」で該当プラグインの更新を実行します。更新が表示されない有料製品などは、購入先・開発元の正規の配布経路を利用してください。", "kind": "procedure", "sourceUrls": [ "https://wordpress.org/documentation/article/updating-wordpress/", "https://wordpress.org/documentation/article/dashboard-updates-screen/", "https://wordpress.org/documentation/article/manage-plugins/" ] } ], "temporaryMitigations": [ { "text": "更新できない場合は、対象機能の停止や公開範囲の制限が使えるかを管理担当者と検討し、実施内容と更新予定日を記録してください。プラグインの「無効化」だけでこの脆弱性を防げるかは個別に確認が必要です。", "kind": "procedure", "sourceUrls": [ "https://wordpress.org/documentation/article/plugins-screen/", "https://nvd.nist.gov/vuln/detail/CVE-2026-107646", "https://plugins.svn.wordpress.org/woocommerce-products-filter/trunk/ext/turbo_mode/index.php", "https://plugins.trac.wordpress.org/browser/woocommerce-products-filter/trunk/ext/stat/views/tabs_content.php#L292", "https://plugins.trac.wordpress.org/browser/woocommerce-products-filter/trunk/ext/turbo_mode/index.php#L177", "https://plugins.trac.wordpress.org/browser/woocommerce-products-filter/trunk/ext/turbo_mode/index.php#L187", "https://plugins.trac.wordpress.org/browser/woocommerce-products-filter/trunk/ext/turbo_mode/index.php#L93", "https://www.wordfence.com/threat-intel/vulnerabilities/id/1186aca4-012b-4512-9ab3-166b9f84d725?source=cve" ] } ], "verification": [ { "text": "更新後に同じ管理画面を開き直してバージョンを記録します。修正対象の系列・版と一致するかを照合し、サイト表示、ログイン、フォームや購入など普段使う主要な操作も確認してください。更新ボタンを押しただけでは完了としないでください。", "kind": "procedure", "sourceUrls": [ "https://wordpress.org/documentation/article/updating-wordpress/", "https://wordpress.org/documentation/article/dashboard-updates-screen/" ] } ], "unknowns": [ "取り込んだ公開データには、修正済みと明記されたバージョン番号がありません。「修正されていない」と確定したわけではありません。下の問い合わせ文で、修正版の番号・提供場所・適用予定を確認できます。" ], "supportRequest": "件名：CVE-2026-107646（HUSKY – Products Filter for WooCommerce Professional）の影響と対応状況の確認\n\n利用中のサイト・機器・サービス：[記入してください]\n製品名・開発元：[記入してください]\n現在のバージョン・ビルド番号：[不明なら「不明」と記入]\n\nCVE-2026-107646について、次を教えてください。\n1. この環境は対象ですか。対象外の場合は、版・設定・機能などの判断理由を教えてください。\n2. 対象の場合、修正を含む版・パッケージ番号と、更新方法を教えてください。古い版に修正を取り込んでいる場合は、このCVEへの対応状況を教えてください。\n3. いつ対応できますか。再起動・停止時間・事前のバックアップや確認作業は必要ですか。\n4. すぐ更新できない場合、正式な回避策とその限界・副作用を教えてください。利用を続けてよい条件も知りたいです。\n5. 対応完了後、修正を確認できる版・設定・対応日時を連絡してください。\n\n確認している情報：https://zeijaku.ittrip.xyz/vulnerabilities/CVE-2026-107646", "sources": [ { "url": "https://nvd.nist.gov/vuln/detail/CVE-2026-107646", "label": "NVDの原文" }, { "url": "https://plugins.svn.wordpress.org/woocommerce-products-filter/trunk/ext/turbo_mode/index.php", "label": "security@wordfence.com" }, { "url": "https://plugins.trac.wordpress.org/browser/woocommerce-products-filter/trunk/ext/stat/views/tabs_content.php#L292", "label": "security@wordfence.com" }, { "url": "https://plugins.trac.wordpress.org/browser/woocommerce-products-filter/trunk/ext/turbo_mode/index.php#L177", "label": "security@wordfence.com" }, { "url": "https://plugins.trac.wordpress.org/browser/woocommerce-products-filter/trunk/ext/turbo_mode/index.php#L187", "label": "security@wordfence.com" }, { "url": "https://plugins.trac.wordpress.org/browser/woocommerce-products-filter/trunk/ext/turbo_mode/index.php#L93", "label": "security@wordfence.com" }, { "url": "https://www.wordfence.com/threat-intel/vulnerabilities/id/1186aca4-012b-4512-9ab3-166b9f84d725?source=cve", "label": "security@wordfence.com" }, { "url": "https://www.first.org/cvss/v3.1/specification-document", "label": "FIRST公式：CVSS 3.1の条件の定義" }, { "url": "https://wordpress.org/documentation/article/plugins-screen/", "label": "WordPress公式：プラグイン一覧" }, { "url": "https://wordpress.org/documentation/article/site-health-screen/", "label": "WordPress公式：サイトヘルスの情報" }, { "url": "https://wordpress.org/documentation/article/updating-wordpress/", "label": "WordPress公式：本体の更新" }, { "url": "https://wordpress.org/documentation/article/dashboard-updates-screen/", "label": "WordPress公式：更新画面" }, { "url": "https://wordpress.org/documentation/article/manage-plugins/", "label": "WordPress公式：プラグインの確認と更新" } ] } } ], "total": 2162, "limit": 20, "offset": 220, "filters": { "product": "all", "type": "all", "q": "", "page": 12 }, "pagination": { "page": 12, "pageSize": 20, "totalPages": 109 }, "sources": [ { "name": "JVN", "status": "ok", "lastSuccess": "2026-10-23T03:17:49.705Z", "lastAttempt": "2026-10-23T03:17:49.705Z", "error": null, "recordCount": 20, "coverage": "JVNの新着・更新RSS。取得した記事を蓄積。JVN iPediaは含みません。", "cursor": null, "freshness": "fresh", "stale": false }, { "name": "PHP Security", "status": "ok", "lastSuccess": "2026-10-23T03:17:49.705Z", "lastAttempt": "2026-10-23T03:17:49.705Z", "error": null, "recordCount": 66, "coverage": "PHP開発元の公開アドバイザリ。公開日が新しい順とは限らない直近100件を取得し蓄積。", "cursor": null, "freshness": "fresh", "stale": false }, { "name": "CISA KEV", "status": "ok", "lastSuccess": "2026-10-23T03:17:49.705Z", "lastAttempt": "2026-10-23T03:17:49.705Z", "error": null, "recordCount": 1754, "coverage": "CISAの公式GitHubミラーにある悪用確認済み一覧全件。掲載日はKEV追加日。", "cursor": null, "freshness": "fresh", "stale": false }, { "name": "NVD", "status": "ok", "lastSuccess": "2026-10-23T03:17:49.705Z", "lastAttempt": "2026-10-23T03:17:49.705Z", "error": null, "recordCount": 3, "coverage": "WordPressを含む脆弱性。初回は公開7日分、以降は全製品の変更分からWordPressと保存済みIDを追跡。停止後は最後に確認できた時刻から最大7日幅・500件ずつ再開し、残りは次回取得。 今回: 2026-10-23T02:02:50.489Z 〜 2026-10-23T03:17:49.705Z、全製品の変更 36/36件まで確認、対象3件反映。", "cursor": null, "freshness": "fresh", "stale": false }, { "name": "CVE", "status": "ok", "lastSuccess": "2026-10-23T03:17:49.705Z", "lastAttempt": "2026-10-23T03:17:49.705Z", "error": null, "recordCount": 6, "coverage": "取得したPHP/JVN情報のうち、公開日が新しい最大6件のCVE公式レコードで条件を補足。", "cursor": null, "freshness": "fresh", "stale": false } ] }