脆弱性の詳細
BookingPress Appointment Booking Pro：データベースへの不正操作
WordPress プラグインCVE-2026-11823重要度：高悪用状況：未確認修正版：要確認BookingPress Appointment Booking Proを使っている方が確認する情報です。公表文は「データベースへの不正操作」に関する問題を示しています。公開された対象範囲を下に日本語で示しています。
危険と対策
取得データを決まったルールで整理した条件と、製品ごとの確認手順です。 保存済みの詳しい解説がないため、取得できた条件と共通の確認手順を表示しています。
どんな危険？
問題の種類についての一般的な説明：入力内容がデータベースへの命令として誤って扱われ、保存された情報を読み取られたり、変更されたりするおそれがあります。具体的な操作範囲は製品の権限や構成によります。
自分は対象？
- 対象の版
- BookingPress Appointment Booking Pro：5.7.1以下
- 修正版
- このデータでは未確認。更新が提供されていない、という意味ではありません。
どうすればいい？
使っているバージョンの調べ方
WordPressの管理画面にログインし、「プラグイン」→「インストール済みプラグイン」を開きます。「BookingPress Appointment Booking Pro」と同じ製品名・開発元の項目を探し、表示されているバージョンを控えてください。停止中のプラグインも一覧に含めて確認します。
一般的な作業手順根拠 5
すぐに更新できないとき
対応が終わったら確認すること
まだ分からないこと・判断の限界
- 取り込んだ公開データには、修正済みと明記されたバージョン番号がありません。「修正されていない」と確定したわけではありません。下の問い合わせ文で、修正版の番号・提供場所・適用予定を確認できます。
- AIによる全文翻訳は行っていません。公式の構造化データを決まったルールで日本語表示し、製品ごとの一般的な確認・更新手順を補足しています。本文だけに記された対象条件や例外は、併記した原文・根拠と照合してください。
管理会社・担当者に聞くための確認メモ
自分で操作できない場合に使えます。コピー先で空欄を埋めて担当者へ送ってください。
この解説・手順の根拠
説明に対応する原文の抜粋
日本語の説明の根拠になった、取得済みの公式情報です。各抜粋を開くと、出典と元の文章を確認できます。
抜粋 1：www.cve.org
The BookingPress Appointment Booking Pro plugin for WordPress is vulnerable to SQL Injection via the 'store_service_date' parameter of the bpa_assign_staffmember_to_slots() function in versions up to and including 5.7.1. This is due to the explicit use of stripslashes_deep() on user-supplied POST data before it is interpolated verbatim into a SQL LIKE clause without use of $wpdb->prepare() or any parameterization. This makes it possible for unauthenticated attackers to append additional SQL queries into already existing queries that can be used to extract sensitive information from the database.
この抜粋の出典を開く取得元の項目：/originalText ／ 言語：und
抜粋 2：www.cve.org
[{"product":"BookingPress Appointment Booking Pro","range":"<= 5.7.1"}]
この抜粋の出典を開く取得元の項目：/affected ／ 言語：und
抜粋 3：www.cve.org
[{"vendor":"Repute Infosystems","product":"BookingPress Appointment Booking Pro","defaultStatus":"unaffected","versions":[{"version":"0","lessThanOrEqual":"5.7.1","versionType":"semver","status":"affected"}]}]
この抜粋の出典を開く取得元の項目：/affectedDetails ／ 言語：und
悪用状況の「未確認」は、悪用されていないことを意味しません。対策は製品・バージョン・利用条件によって異なります。適用前に情報源とご自身の環境を確認してください。
情報の出典と更新日時
CVSS評価元：security@wordfence.com。重要度は技術的な深刻度の目安であり、対応の順序は悪用状況や利用環境も含めて判断してください。
情報源ごとの取得日時
原典の更新日時と当サイトの取得日時は、情報源ごとに異なります。上の更新・取得日時は、それぞれの最新値です。
- NVD原典の更新：2026/10/26 02:10 JST取得：2026/10/26 02:13 JST
原文と条件を確認
The BookingPress Appointment Booking Pro plugin for WordPress is vulnerable to SQL Injection via the 'store_service_date' parameter of the bpa_assign_staffmember_to_slots() function in versions up to and including 5.7.1. This is due to the explicit use of stripslashes_deep() on user-supplied POST data before it is interpolated verbatim into a SQL LIKE clause without use of $wpdb->prepare() or any parameterization. This makes it possible for unauthenticated attackers to append additional SQL queries into already existing queries that can be used to extract sensitive information from the database.