概要
WordPress向け予約管理プラグイン「WPBookit」において、認証不備による情報漏えいの脆弱性（CVE-2026-1980）が報告されました。この脆弱性は、プラグインのget_customer_listルートにおける認証チェックの欠如に起因します。これにより、未認証の攻撃者が顧客リストにアクセスし、機密情報を取得できる可能性があります。
影響範囲
WPBookitプラグインのバージョン1.0.8およびそれ以前のすべてのバージョンがこの脆弱性の影響を受けるとされています。
想定される影響
本脆弱性が悪用された場合、以下のような情報が漏えいする可能性があります。
- 顧客の氏名
- メールアドレス
- 電話番号
- 生年月日
- 性別
これらの情報が漏えいすることで、顧客への標的型攻撃やプライバシー侵害に繋がる恐れがあります。
攻撃成立条件・悪用状況
攻撃成立条件
認証されていない攻撃者が、脆弱性のあるWPBookitプラグインがインストールされたWordPressサイトの特定のルート（get_customer_list）にアクセスすることで、脆弱性が悪用される可能性があります。
悪用状況
現在のところ、この脆弱性の具体的な悪用状況については、公開情報からは確認されていません。
推奨対策
優先度：高
- プラグインのアップデート: WPBookitプラグインのベンダーから修正版がリリースされている場合は、速やかに最新バージョンへアップデートしてください。アップデートにより、この脆弱性が修正されることが期待されます。
中長期的な対策
- 不要なプラグインの削除: 使用していない、またはサポートが終了しているプラグインは、セキュリティリスクとなる可能性があるため、定期的に見直し、削除を検討してください。
- セキュリティ監視の強化: ウェブサイトへの不審なアクセスがないか、ログの監視を強化することを推奨します。
一時的な緩和策
修正版がリリースされていない、またはすぐにアップデートが困難な場合、以下の対策を検討してください。ただし、これらの対策はウェブサイトの機能に影響を与える可能性があるため、慎重に実施してください。
- プラグインの一時的な無効化: WPBookitプラグインの機能を一時的に停止することで、脆弱性の悪用リスクを低減できる可能性があります。ただし、予約機能が利用できなくなるため、業務への影響を十分に考慮してください。
- アクセス制限の検討: ウェブアプリケーションファイアウォール（WAF）などを利用して、
get_customer_listルートへの不審なアクセスをブロックすることを検討してください。
確認方法
ご自身のWordPressサイトでWPBookitプラグインを使用している場合は、インストールされているプラグインのバージョンを確認してください。バージョンが1.0.8以前である場合、本脆弱性の影響を受ける可能性があります。