概要
WordPress用プラグイン「LatePoint – Calendar Booking Plugin for Appointments and Events」に、SQLインジェクションの脆弱性（CVE-2026-1487）が発見されました。
この脆弱性は、JSONインポート機能において、ユーザーが提供するJSONデータの検証が不十分であることに起因します。結果として、認証済みの管理者権限を持つ攻撃者が、データベースに対して任意のSQLクエリを実行できる可能性があります。
影響範囲
WordPressプラグイン「LatePoint – Calendar Booking Plugin for Appointments and Events」のバージョン5.2.7およびそれ以前の全てのバージョンが影響を受けます。
想定される影響
本脆弱性が悪用された場合、攻撃者はデータベースから機密情報を抽出したり（時間ベースの技術を使用）、データベース内のテーブルを削除したり、データを改ざんしたりする可能性があります。これにより、ウェブサイトの機能停止、データ漏洩、データの整合性破壊など、広範な被害につながる恐れがあります。
攻撃成立条件・悪用状況
攻撃を成功させるためには、攻撃者が対象のWordPressサイトにおいて、管理者レベル以上の認証済みアカウントを持っている必要があります。現在のところ、この脆弱性が実際に悪用されたという具体的な報告は確認されていません。
推奨対策
今すぐできる対策（最優先）
- プラグインのアップデート: 「LatePoint – Calendar Booking Plugin for Appointments and Events」を、本脆弱性が修正された最新バージョン（5.2.8以降）に速やかにアップデートしてください。
中長期的な対策
- 最小権限の原則: WordPressサイトのユーザーアカウントに対し、必要最小限の権限のみを付与する運用を徹底してください。特に管理者アカウントの管理を厳格化することが重要です。
- 定期的なバックアップ: データベースを含むWordPressサイト全体の定期的なバックアップを実施し、万が一の事態に備えてください。
- セキュリティ監視の強化: WordPressサイトのアクセスログやセキュリティログを定期的に監視し、不審な活動がないか確認してください。
一時的な緩和策
現時点では、プラグインをアップデートする以外の効果的な一時的な緩和策は報告されていません。可能な限り速やかにアップデートを実施することが推奨されます。
確認方法
お使いのWordPressサイトで「LatePoint – Calendar Booking Plugin for Appointments and Events」プラグインがインストールされているか、またそのバージョンが5.2.7以前であるかを確認してください。WordPress管理画面の「プラグイン」セクションで確認できます。