Japanized for WooCommerce

WooCommerce 関連脆弱性レポート(2025/03/17-2025/03/23)

in ,

Wordfence Intelligence 脆弱性報告の中で「WooCommerce」に関連すると思われるプラグイン（および WooCommerce 対応テーマ）を抽出し、それぞれの危険性（CVSS スコア等からみる深刻度）と重要度、および対策を日本語でまとめます。なお、バージョン表記や脆弱性の詳細は該当レポート本文を参照ください。すでにパッチが出ているものは早急にアップデートし、未パッチの場合は利用停止・代替策の検討を推奨します。

Wordfence Intelligence Weekly WordPress Vulnerability Report (March 17, 2025 to March 23 2025)

WooCommerceに関連する脆弱性プラグイン

  1. HUSKY – Products Filter Professional for WooCommerce
    • 脆弱性: 未認証ローカルファイルインクルージョン (Unauthenticated Local File Inclusion)
    • CVSS評価: 9.8 (クリティカル)
    • 影響を受けるバージョン: <= 1.3.6.5
    • 状態: パッチ適用済み
    • 危険性: この脆弱性を悪用されると、攻撃者はサーバー上の任意のファイルを読み取ることができます。これにより、機密情報が漏洩したり、サーバーの設定ファイルが改ざんされたりする可能性があります。
    • 重要度: 非常に高い。直ちにアップデートが必要です。
    • 対策: 最新バージョン（1.3.6.6以降）にアップデートしてください。
  2. Finale Lite – Sales Countdown Timer & Discount for WooCommerce
    • 脆弱性: 認証済み(投稿者+)格納型DOMベースクロスサイトスクリプティング (Authenticated (Contributor+) Stored DOM-Based Cross-Site Scripting via Countdown Timer)
    • CVSS評価: 6.4 (中)
    • 影響を受けるバージョン: <= 2.19.0
    • 状態: パッチ適用済み
    • 危険性: この脆弱性を悪用されると、攻撃者は悪意のあるスクリプトをWebページに注入し、ユーザーのブラウザ上で実行させることができます。これにより、ユーザーのセッションが盗まれたり、Webサイトが改ざんされたりする可能性があります。
    • 重要度: 中程度。アップデートを推奨します。
    • 対策: 最新バージョンにアップデートしてください。
  3. ShopLentor – WooCommerce Builder for Elementor & Gutenberg +20 Modules – All in One Solution (formerly WooLentor)
    • 脆弱性: 認証済み(投稿者+)格納型DOMベースクロスサイトスクリプティング (Authenticated (Contributor+) Stored DOM-Based Cross-Site Scripting via Flash Sale Countdown Module)
    • CVSS評価: 6.4 (中)
    • 影響を受けるバージョン: <= 3.1.0
    • 状態: パッチ適用済み
    • 危険性: Finale Liteと同様に、クロスサイトスクリプティングの脆弱性です。攻撃者が悪意のあるスクリプトを注入し、ユーザーのブラウザ上で実行させる可能性があります。
    • 重要度: 中程度。アップデートを推奨します。
    • 対策: 最新バージョンにアップデートしてください。
  4. In Stock Mailer for WooCommerce
    • 脆弱性: 反射型クロスサイトスクリプティング (Reflected Cross-Site Scripting)
    • CVSS評価: 6.1 (中)
    • 影響を受けるバージョン: <= 2.1.1
    • 状態: 未パッチ
    • 危険性: この脆弱性を悪用されると、攻撃者は特別に細工されたURLを介して悪意のあるスクリプトをユーザーのブラウザ上で実行させることができます。
    • 重要度: 中程度。アップデートを強く推奨します。
    • 対策: プラグインの更新を待ち、最新版が出たら速やかにアップデートしてください。
  5. WC Affiliate – A Complete WooCommerce Affiliate Plugin
    • 脆弱性: 認証済み(購読者+)機密情報漏洩 (Missing Authorization to Authenticated (Subscriber+) Sensitive Information Exposure via wf-export-all)
    • CVSS評価: 6.5 (中)
    • 影響を受けるバージョン: <= 2.5.3
    • 状態: パッチ適用済み
    • 危険性: この脆弱性を悪用されると、攻撃者は機密情報を不正に取得できる可能性があります。
    • 重要度: 中程度。アップデートを推奨します。
    • 対策: 最新バージョンにアップデートしてください。
  6. Finale Lite – Sales Countdown Timer & Discount for WooCommerce <= 2.19.0
    • 脆弱性: 認証された寄稿者以上のユーザーによる、カウントダウンタイマーを介したDOMベースのクロスサイトスクリプティング（XSS）。
    • 危険性: 悪意のあるスクリプトがWebページに挿入され、ユーザーのブラウザで実行される可能性があります。これにより、セッションハイジャック、Cookieの盗難、機密情報の漏洩などが起こり得ます。特に、WooCommerceのセールや割引機能に関連するため、顧客情報や決済情報が危険にさらされる可能性があります。
    • 重要度: 中（CVSSスコア: 6.4）
    • 対策: 最新バージョン（2.19.0より新しいバージョン）にアップデートしてください。パッチが適用されているため、アップデートにより脆弱性が修正されます。
  7. ShopLentor – WooCommerce Builder for Elementor & Gutenberg +20 Modules – All in One Solution (formerly WooLentor) <= 3.1.0
    • 脆弱性: 認証された寄稿者以上のユーザーによる、フラッシュセールカウントダウンモジュールを介したDOMベースのクロスサイトスクリプティング（XSS）。
    • 危険性: 悪意のあるスクリプトがWebページに挿入され、ユーザーのブラウザで実行される可能性があります。特に、WooCommerceのセール機能に関連するため、顧客情報や決済情報が危険にさらされる可能性があります。
    • 重要度: 中（CVSSスコア: 6.4）
    • 対策: 最新バージョン（3.1.0より新しいバージョン）にアップデートしてください。パッチが適用されているため、アップデートにより脆弱性が修正されます。
  8. In Stock Mailer for WooCommerce <= 2.1.1
    • 脆弱性: 反射型クロスサイトスクリプティング（XSS）。
    • 危険性: 悪意のあるスクリプトがURLパラメータなどを介してWebページに挿入され、ユーザーのブラウザで実行される可能性があります。在庫通知機能に関連するため、顧客情報が危険にさらされる可能性があります。
    • 重要度: 中（CVSSスコア: 6.1）
    • 対策: 最新バージョンにアップデートしてください。または、開発者からのセキュリティパッチが提供されるまで、プラグインを無効化してください。
  9. Accounting for WooCommerce <=1.6.8
    • 脆弱性: 認証された管理者以上のユーザーによる、格納型クロスサイトスクリプティング（XSS）。
    • 危険性: 管理者が悪意のあるスクリプトをデータベースに保存し、他のユーザーが閲覧した際に実行される可能性があります。WooCommerceの会計機能に関連するため、財務情報が危険にさらされる可能性があります。
    • 重要度: 中（CVSSスコア: 4.4）
    • 対策: 最新バージョンにアップデートしてください。パッチが適用されているため、アップデートにより脆弱性が修正されます。
  10. Skrill Official <= 1.0.66
    • 脆弱性: クロスサイトリクエストフォージェリ（CSRF）。
    • 危険性: 攻撃者がユーザーのブラウザに悪意のあるリクエストを送信し、意図しない操作を実行させる可能性があります。WooCommerceの決済機能に関連するため、不正な決済処理が行われる可能性があります。
    • 重要度: 中（CVSSスコア: 4.3）
    • 対策: 最新バージョンにアップデートしてください。パッチが適用されているため、アップデートにより脆弱性が修正されます。
  • Order Export & Order Import for WooCommerce
    • 危険性:
      • サーバーサイドリクエストフォージェリ (SSRF) により、攻撃者がサーバー内部のリソースにアクセスしたり、外部の悪意あるサイトにリクエストを送信したりする可能性があります。
      • PHPオブジェクトインジェクションにより、サーバー側で任意のコードが実行される可能性があります。
      • ディレクトリトラバーサルにより、権限のあるユーザーがサーバー上のファイルを読み取ったり、削除したりする可能性があります。
    • 重要度: 高
    • 対策: プラグインを最新バージョン2.6.2にアップデートしてください。
  • NP Quote Request for WooCommerce
    • 危険性: 認証されていないユーザーが機密情報を閲覧できる可能性があります。
    • 重要度: 高
    • 対策: プラグインを最新バージョンにアップデートしてください。
  • Recover WooCommerce Cart Abandonment, Newsletter, Email Marketing, Marketing Automation By FunnelKit
    • 危険性: SQLインジェクションにより、データベースが不正に操作される可能性があります。
    • 重要度: 高
    • 対策: プラグインを最新バージョンにアップデートしてください。
  • WooCommerce Multivendor Marketplace – REST API
    • 危険性: SQLインジェクションにより、データベースが不正に操作される可能性があります。
    • 重要度: 中
    • 対策: プラグインのアップデートを待つか、代替プラグインの利用を検討してください。
  • Bitcoin / AltCoin Payment Gateway for WooCommerce, GlobalPayments WooCommerce, Já-Já Pagamentos for WooCommerce
    • 危険性: クロスサイトスクリプティング (XSS) により、ユーザーのブラウザ上で悪意のあるスクリプトが実行される可能性があります。
    • 重要度: 中
    • 対策: プラグインのアップデートを待つか、代替プラグインの利用を検討してください。

重要な注意点

  • 常に最新バージョンを使用する: プラグインやテーマは常に最新バージョンを使用することが重要です。開発者は脆弱性を修正した新しいバージョンをリリースすることが多いため、更新を怠らないようにしましょう。
  • 信頼できるソースから入手する: プラグインやテーマは、WordPress.org の公式ディレクトリや、信頼できる開発元から入手するようにしましょう。
  • セキュリティプラグインを使用する: セキュリティプラグインを使用することで、サイトのセキュリティを強化することができます。
  • バックアップを定期的に行う: 万が一の事態に備えて、サイトのバックアップを定期的に行うようにしましょう。

これらの情報が、サイトのセキュリティ対策に役立つことを願っています。

セキュリティー対策 for WooCommerce(日本セキュリティガイドライン対応)

セキュリティー対策 for WooCommerce(日本セキュリティガイドライン対応)

WooCommerce サイトに対して最適な保守を行います。

定期購入費用が最低価格: ¥3,300 税込 / 3ヶ月 継続期間 12ヶ月と登録費用が¥11,000
今すぐショッピング