概要
WordPressプラグイン「LatePoint – Calendar Booking Plugin for Appointments and Events」に、クロスサイトリクエストフォージェリ（CSRF）の脆弱性（CVE-2026-2324）が報告されています。
この脆弱性は、プラグイン内のreload_preview()関数におけるnonce検証の欠如または不備に起因するとされています。これにより、認証されていない攻撃者が、サイト管理者をだまして特定の操作（例：悪意のあるリンクのクリック）を行わせることで、プラグインの設定を更新したり、悪意のあるウェブスクリプトを注入したりする可能性があります。
本脆弱性の深刻度は「MEDIUM」と評価されています。
影響範囲
WordPressプラグイン「LatePoint – Calendar Booking Plugin for Appointments and Events」のバージョン5.2.7およびそれ以前の全てのバージョンが影響を受けると報告されています。
想定される影響
攻撃者がこの脆弱性を悪用した場合、以下のような影響が想定されます。
- 設定の不正な変更: サイト管理者の意図しない形で、プラグインの設定が変更される可能性があります。
- 悪意のあるスクリプトの注入: サイトに悪意のあるウェブスクリプト（例：XSS攻撃）が注入され、サイト訪問者のブラウザ上で実行される可能性があります。これにより、セッションハイジャックや情報漏洩、フィッシングサイトへの誘導など、さらなる被害につながる恐れがあります。
攻撃成立条件・悪用状況
攻撃成立条件
- 攻撃者は、サイト管理者をだまして、細工されたウェブサイトを訪問させたり、悪意のあるリンクをクリックさせたりする必要があります。
- 管理者がWordPressにログインしている状態である必要があります。
悪用状況
現時点では、この脆弱性が実際に悪用されたという具体的な報告は確認されていません。
推奨対策
今すぐできる対策（最優先）
- プラグインのアップデート: 開発元から提供される修正済みバージョン（5.2.8以降と推測されますが、公式情報を確認してください）へ速やかにアップデートしてください。常に最新のセキュリティパッチが適用されたバージョンを使用することが重要です。
中長期的な対策
- セキュリティ情報の継続的な監視: 利用しているプラグインやWordPress本体に関するセキュリティ情報を定期的に確認し、迅速に対応できる体制を整えてください。
- WAFの導入: Webアプリケーションファイアウォール（WAF）を導入することで、CSRF攻撃を含む様々なWeb攻撃からサイトを保護できる可能性があります。
一時的な緩和策
現時点では、プラグインのアップデート以外の効果的な一時的な緩和策は限定的です。
管理者は、不審なメールやリンク、ウェブサイトにはアクセスしないよう、常に注意を払う必要があります。
確認方法
ご自身のWordPressサイトで「LatePoint – Calendar Booking Plugin for Appointments and Events」プラグインがインストールされているか、またそのバージョンが5.2.7以前であるかを確認してください。
WordPress管理画面の「プラグイン」→「インストール済みプラグイン」から確認できます。
参考情報
詳細については、以下の情報を参照してください。