Wordfence Intelligence 脆弱性報告の中で「WooCommerce」に関連すると思われるプラグイン（および WooCommerce 対応テーマ）を抽出し、それぞれの危険性（CVSS スコア等からみる深刻度）と重要度、および対策を日本語でまとめます。なお、バージョン表記や脆弱性の詳細は該当レポート本文を参照ください。すでにパッチが出ているものは早急にアップデートし、未パッチの場合は利用停止・代替策の検討を推奨します。
Wordfence Intelligence Weekly WordPress Vulnerability Report (February 10, 2025 to February 16 2025)
1. Oliver POS – A WooCommerce Point of Sale (POS)
脆弱性概要:
- CVE-ID: CVE-2024-13513
- CVSS スコア: 9.8 (Critical)
- 影響バージョン: 2.4.2.3 以下
- 脆弱性の種類: 特権昇格につながるセンシティブ情報露出
- パッチ状況: パッチ済
危険性と重要度:
- CVSS 9.8 は「クリティカル」であり、深刻度が極めて高いです。攻撃者によりサイト管理者権限が奪取される恐れがあります。
推奨対策:
- すぐに最新版へアップデートすること。
- もしアップデートができない場合は運用を一時停止し、代替手段を検討してください。
- WordPress ダッシュボードの管理アカウントに二要素認証を導入するなど防御策を強化することも推奨されます。
2. Avada | Website Builder For WordPress & WooCommerce（テーマ）
脆弱性概要:
- CVE-ID: CVE-2024-13346
- CVSS スコア: 7.3 (High)
- 影響バージョン: 7.11.13 以下
- 脆弱性の種類: 未認証の任意ショートコード実行
- パッチ状況: パッチ済
危険性と重要度:
- WooCommerce にも対応している人気テーマであり、サイト全体に影響します。
- 高リスクの脆弱性で、悪用により任意のコード実行を許可してしまう恐れがあります。
推奨対策:
- テーマを最新版へアップデート。
- テーマ側のセキュリティアドバイザリを随時確認し、セキュリティプラグインを併用して防御を強化すること。
3. Customer Email Verification for WooCommerce
脆弱性概要:
- CVE-ID: CVE-2024-13528 (認証バイパス) / CVE-2024-13525 (情報露出)
- CVSS スコア: 最大 7.5 (High)
- 影響バージョン: 2.9.5 以下 など
- 脆弱性の種類: 認証バイパス、機密情報の漏洩
- パッチ状況: パッチ済
危険性と重要度:
- 購入者のメールアドレス確認機能に関わるプラグインのため、認証をすり抜けられると不正ログインやアカウントの乗っ取りにつながる可能性があります。
- WooCommerce のアカウント管理に直結するため、影響度は高いです。
推奨対策:
- すぐに最新版へアップデートすること。
- 管理者アカウントや購入者のログイン履歴、権限のチェックを行い、不審な動きがないか確認します。
4. HurryTimer – An Scarcity and Urgency Countdown Timer for WordPress & WooCommerce
脆弱性概要:
- CVE-ID: CVE-2024-13735
- CVSS スコア: 6.4 (Medium)
- 影響バージョン: 2.11.2 以下
- 脆弱性の種類: 認証された投稿者（Contributor 以上）による Stored XSS
- パッチ状況: パッチ済
危険性と重要度:
- WooCommerce 商品ページなどにカウントダウンを表示するプラグイン。
- 攻撃者が投稿者権限を得た場合にサイトに不正なスクリプトを仕込める可能性があります。
推奨対策:
- アップデートの適用、および不要なユーザー権限の見直し。
- 投稿者権限を必要以上に与えないように運用ポリシーを確認してください。
5. Return Refund and Exchange For WooCommerce – RMA 機能
脆弱性概要:
- CVE-ID: CVE-2024-13641 (機密情報露出), CVE-2024-13692 (IDOR など)
- CVSS スコア: 5.9 / 5.4 (ともに Medium)
- 影響バージョン: 4.4.5 以下
- 脆弱性の種類: 未認証ディレクトリ公開による情報漏洩、認可の不備による情報参照
- パッチ状況: パッチ済
危険性と重要度:
- 返品・交換機能を提供するプラグインであり、ユーザー情報や注文情報の取り扱いが多いので要注意。
- 大規模ECではユーザー情報流出リスクがあるため、適切な管理が必須です。
推奨対策:
- 最新版へアップデート。
- 余計なディレクトリが公開状態になっていないかをサーバー側で確認する。
- サーバーや WordPress 本体のアクセス権・ファイル構成なども再点検しましょう。
6. BEAR – Bulk Editor and Products Manager Professional for WooCommerce
脆弱性概要:
- CVE-ID: CVE-2025-26775
- CVSS スコア: 5.5 (Medium)
- 影響バージョン: 1.1.4.4 以下
- 脆弱性の種類: 管理者アカウント権限での Stored XSS
- パッチ状況: パッチ済
危険性と重要度:
- 商品情報を一括編集する WooCommerce 向けプラグイン。
- 管理者のみが操作できる機能に XSS のリスクがあるものの、通常は管理画面へアクセス可能なユーザーに限定されるため、致命的ではないですが注意は必要です。
推奨対策:
- 最新版へのアップデート。
- 不要な管理者アカウントが存在しないかユーザー管理を徹底し、XSS 攻撃の足がかりを減らしましょう。
7. Pallet Packaging for WooCommerce
脆弱性概要:
- CVE-ID: CVE-2025-22285
- CVSS スコア: 5.3 (Medium)
- 影響バージョン: 1.1.15 以下
- 脆弱性の種類: 認可の不備 (Missing Authorization)
- パッチ状況: 未パッチ (報告時点)
危険性と重要度:
- WooCommerce でパレット梱包の計算などを行うプラグイン。
- 認可の不備により、本来アクセスできない管理機能を不正操作される可能性があります。
推奨対策:
- 公式がパッチを提供するまで利用を控えるか、代替プラグインの検討を推奨。
- やむを得ず使用を継続する場合は、ファイアウォール（WAF）の導入や該当機能の制限など防御策が必要。
8. Discover the Best Woocommerce Product Brands Plugin for WordPress – Woocommerce Brands Plugin
脆弱性概要:
- CVE-ID: CVE-2024-11746
- CVSS スコア: 6.4 (Medium)
- 影響バージョン: 1.3.2 以下
- 脆弱性の種類: Authenticated (Contributor+) Stored XSS
- パッチ状況: パッチ済
危険性と重要度:
- WooCommerce 商品ブランド表示プラグイン。
- Contributor 権限を持つユーザーが悪意のあるスクリプトを仕込むことで XSS 攻撃が可能になる恐れがあります。
推奨対策:
- パッチ適用済みバージョンへアップデート。
- 投稿者権限などの見直し・不要アカウントの削除などセキュリティ運用を徹底。
まとめと総合的な対策
該当プラグイン／テーマのバージョン確認とアップデート
- 修正パッチがリリースされている場合は最優先で最新版にアップデートする。
- 未パッチの場合、機能の一時停止や代替プラグインへの切り替え、ファイアウォール等でアクセス制限を行う。
不要なプラグインやテーマは削除
- WooCommerce 関連プラグインも含め、不要なものがあれば無効化・削除し、攻撃面を減らす。