Japanized for WooCommerce

WooCommerce 関連脆弱性レポート(2025/03/24-2025/03/30)

in ,

Wordfence Intelligence 脆弱性報告の中で「WooCommerce」に関連すると思われるプラグイン（および WooCommerce 対応テーマ）を抽出し、それぞれの危険性（CVSS スコア等からみる深刻度）と重要度、および対策を日本語でまとめます。なお、バージョン表記や脆弱性の詳細は該当レポート本文を参照ください。すでにパッチが出ているものは早急にアップデートし、未パッチの場合は利用停止・代替策の検討を推奨します。

Wordfence Intelligence Weekly WordPress Vulnerability Report (March 24, 2025 to March 30 2025)

WooCommerceに関連する脆弱性プラグイン

  1. Accounting for WooCommerce <= 1.6.8 – 認証されていないローカルファイルインクルージョン
    • 危険性: 認証されていない攻撃者が、サーバー上の機密ファイルにアクセスしたり、悪意のあるコードを実行したりする可能性があります。
    • 重要度: ** (Critical) – 9.8** (CVSS評価)
    • 対策: プラグインをバージョン 1.6.9 以降にアップデートしてください。この脆弱性はパッチ済みです。
  2. Checkout Mestres do WP for WooCommerce 8.6.5 – 8.7.5 – 認証されていない任意のオプション更新
    • 危険性: 認証されていない攻撃者が、プラグインの設定を含むWordPressのオプションを不正に変更する可能性があります。これにより、サイトの機能が損なわれたり、悪意のある動作を引き起こされたりする可能性があります。
    • 重要度: ** (Critical) – 9.8** (CVSS評価)
    • 対策: 現時点ではパッチが提供されていません。開発者による修正版が公開されるまで、プラグインの使用を一時的に停止するか、代替のプラグインを検討することを推奨します。
  3. Export All Posts, Products, Orders, Refunds & Users <= 2.13 – 認証されていないPHPオブジェクトインジェクション
    • 危険性: 認証されていない攻撃者が、悪意のあるPHPオブジェクトを注入し、サーバー上で任意のコードを実行する可能性があります。これにより、サイトが完全に制御される危険性があります。
    • 重要度: ** (Critical) – 9.8** (CVSS評価)
    • 対策: プラグインを最新バージョンにアップデートしてください。この脆弱性はパッチ済みです。
  4. Multiple Shipping And Billing Address For Woocommerce <= 1.5 – 認証されていないPHPオブジェクトインジェクション
    • 危険性: 認証されていない攻撃者が、悪意のあるPHPオブジェクトを注入し、サーバー上で任意のコードを実行する可能性があります。これにより、サイトが完全に制御される危険性があります。
    • 重要度: ** (Critical) – 9.8** (CVSS評価)
    • 対策: プラグインを最新バージョンにアップデートしてください。この脆弱性はパッチ済みです。
  5. Rapyd Payment Extension for WooCommerce <= 1.1.9 – 認証されていないPHPオブジェクトインジェクション
    • 危険性: 認証されていない攻撃者が、悪意のあるPHPオブジェクトを注入し、サーバー上で任意のコードを実行する可能性があります。これにより、サイトが完全に制御される危険性があります。
    • 重要度: ** (Critical) – 9.8** (CVSS評価)
    • 対策: 現時点ではパッチが提供されていません。開発者による修正版が公開されるまで、プラグインの使用を一時的に停止するか、代替の決済プラグインを検討することを強く推奨します。
  6. WPC Smart Upsell Funnel for WooCommerce <= 3.0.4 – 認証された(購読者以上)任意のオプション更新
    • 危険性: 認証された攻撃者（購読者以上の権限を持つユーザー）が、プラグインの設定を含むWordPressのオプションを不正に変更する可能性があります。これにより、アップセル機能が意図しない動作をしたり、他の設定に影響を与えたりする可能性があります。
    • 重要度: ** (High) – 8.8** (CVSS評価)
    • 対策: プラグインを最新バージョンにアップデートしてください。この脆弱性はパッチ済みです。
  7. Active Products Tables for WooCommerce <= 1.0.6.7 – 認証されていない任意のフィルター呼び出し
    • 危険性: 認証されていない攻撃者が、意図しないフィルター関数を呼び出すことができ、それによって予期せぬ動作を引き起こしたり、セキュリティ上の問題につながる可能性があります。
    • 重要度: ** (High) – 7.3** (CVSS評価)
    • 対策: プラグインをバージョン 1.0.6.8 以降にアップデートしてください。この脆弱性はパッチ済みです。
  8. AliExpress Dropshipping Plugin for WooCommerce – AliNext <= 3.5.1 – オープンリダイレクト
    • 危険性: 攻撃者が悪意のあるURLへのリダイレクトリンクを作成し、ユーザーをフィッシングサイトなどに誘導する可能性があります。
    • 重要度: ** (High) – 7.2** (CVSS評価)
    • 対策: プラグインを最新バージョンにアップデートしてください。この脆弱性はパッチ済みです。
  9. FunnelKit Automations – Email Marketing Automation and CRM for WordPress & WooCommerce <= 3.5.1 – オープンリダイレクト
    • 危険性: 攻撃者が悪意のあるURLへのリダイレクトリンクを作成し、ユーザーをフィッシングサイトなどに誘導する可能性があります。
    • 重要度: ** (High) – 7.2** (CVSS評価)
    • 対策: プラグインを最新バージョンにアップデートしてください。この脆弱性はパッチ済みです。
  10. Scheduled & Automatic Order Status Controller for WooCommerce <= 3.7.1 – オープンリダイレクト
    • 危険性: 攻撃者が悪意のあるURLへのリダイレクトリンクを作成し、ユーザーをフィッシングサイトなどに誘導する可能性があります。
    • 重要度: ** (High) – 7.2** (CVSS評価)
    • 対策: プラグインを最新バージョンにアップデートしてください。この脆弱性はパッチ済みです。
  11. Product Import Export for WooCommerce <= 2.5.0 – 認証された(管理者以上)サーバーサイドリクエストフォージェリ (SSRF) via validate_file Function
    • 危険性: 認証された管理者権限を持つ攻撃者が、サーバーに任意の外部リクエストを送信させることができます。これにより、内部ネットワークへのアクセスや、他のサービスへの攻撃につながる可能性があります。
    • 重要度: ** (High) – 7.6** (CVSS評価)
    • 対策: プラグインを最新バージョンにアップデートしてください。この脆弱性はパッチ済みです。
  12. Product Import Export for WooCommerce <= 2.5.0 – 認証された(管理者以上)PHPオブジェクトインジェクション via form_data Parameter
    • 危険性: 認証された管理者権限を持つ攻撃者が、悪意のあるPHPオブジェクトを注入し、サーバー上で任意のコードを実行する可能性があります。これにより、サイトが完全に制御される危険性があります。
    • 重要度: ** (High) – 7.2** (CVSS評価)
    • 対策: プラグインを最新バージョンにアップデートしてください。この脆弱性はパッチ済みです。
  13. Advanced Woo Search <= 3.28 – 認証された(投稿者以上)保存型クロスサイトスクリプティング (XSS) via aws_search_terms Shortcode
    • 危険性: 認証された攻撃者（投稿者以上の権限を持つユーザー）が、悪意のあるスクリプトを投稿やページに埋め込み、サイト訪問者のブラウザ上で実行させることができます。これにより、ユーザーアカウントの乗っ取りや、悪意のあるサイトへのリダイレクトなどの被害が発生する可能性があります。
    • 重要度: ** (Medium) – 6.4** (CVSS評価)
    • 対策: プラグインを最新バージョンにアップデートしてください。この脆弱性はパッチ済みです。
  14. WPCafe <= 2.2.31 – 認証された(投稿者以上)ローカルファイルインクルージョン
    • 危険性: 認証された攻撃者（投稿者以上の権限を持つユーザー）が、サーバー上の機密ファイルにアクセスする可能性があります。
    • 重要度: ** (High) – 8.8** (CVSS評価)
    • 対策: プラグインを最新バージョンにアップデートしてください。この脆弱性はパッチ済みです。
  15. Event Manager and Tickets Selling Plugin for WooCommerce – WpEvently <= 4.2.9 – 認証された(投稿者以上)ローカルファイルインクルージョン
    • 危険性: 認証された攻撃者（投稿者以上の権限を持つユーザー）が、サーバー上の機密ファイルにアクセスする可能性があります。
    • 重要度: ** (High) – 8.8** (CVSS評価)
    • 対策: プラグインを最新バージョンにアップデートしてください。この脆弱性はパッチ済みです。
  16. WordPress Tour & Travel Booking Plugin for WooCommerce – WpTravelly <= 1.8.7 – 認証された(投稿者以上)ローカルファイルインクルージョン
    • 危険性: 認証された攻撃者（投稿者以上の権限を持つユーザー）が、サーバー上の機密ファイルにアクセスする可能性があります。
    • 重要度: ** (High) – 8.8** (CVSS評価)
    • 対策: プラグインを最新バージョンにアップデートしてください。この脆弱性はパッチ済みです。
  17. Custom Product Stickers for Woocommerce <= 1.9.0 – 反射型クロスサイトスクリプティング
    • 危険性: 悪意のあるスクリプトがURLパラメータなどを介して埋め込まれ、ユーザーがそのリンクをクリックすることで、意図しない動作（アカウントの乗っ取り、悪意のあるサイトへのリダイレクトなど）が実行される可能性があります。
    • 重要度: ** (Medium) – 6.1** (CVSS評価)
    • 対策: 現時点ではパッチが提供されていません。開発者による修正版が公開されるまで、プラグインの使用には注意が必要です。不審なリンクはクリックしないようにしてください。
  18. Pesapal Gateway for Woocommerce <= 2.1.0 – 反射型クロスサイトスクリプティング
    • 危険性: 悪意のあるスクリプトがURLパラメータなどを介して埋め込まれ、ユーザーがそのリンクをクリックすることで、意図しない動作（支払い情報の詐取、悪意のあるサイトへのリダイレクトなど）が実行される可能性があります。
    • 重要度: ** (Medium) – 6.1** (CVSS評価)
    • 対策: 現時点ではパッチが提供されていません。開発者による修正版が公開されるまで、プラグインの使用には注意が必要です。特に支払い関連の操作を行う際には、URLが信頼できるものであるか確認してください。
  19. Primer MyData for Woocommerce < 4.2.4 – 反射型クロスサイトスクリプティング
    • 危険性: 悪意のあるスクリプトがURLパラメータなどを介して埋め込まれ、ユーザーがそのリンクをクリックすることで、意図しない動作が実行される可能性があります。
    • 重要度: ** (Medium) – 6.1** (CVSS評価)
    • 対策: プラグインをバージョン 4.2.4 以降にアップデートしてください。この脆弱性はパッチ済みです。
  20. SKU Generator for WooCommerce <= 1.6.2 – 反射型クロスサイトスクリプティング
    • 危険性: 悪意のあるスクリプトがURLパラメータなどを介して埋め込まれ、ユーザーがそのリンクをクリックすることで、意図しない動作が実行される可能性があります。
    • 重要度: ** (Medium) – 6.1** (CVSS評価)
    • 対策: プラグインをバージョン 1.6.3 以降にアップデートしてください。この脆弱性はパッチ済みです。
  21. WooCommerce Fattureincloud <= 2.6.7 – 反射型クロスサイトスクリプティング
    • 危険性: 悪意のあるスクリプトがURLパラメータなどを介して埋め込まれ、ユーザーがそのリンクをクリックすることで、意図しない動作（アカウントの乗っ取り、機密情報の漏洩など）が実行される可能性があります。
    • 重要度: ** (Medium) – 6.1** (CVSS評価)
    • 対策: プラグインをバージョン 2.6.8 以降にアップデートしてください。この脆弱性はパッチ済みです。
  22. Taxi Booking Manager for WooCommerce <= 1.2.1 – 認証の欠如
    • 危険性: 認証されていない攻撃者が、タクシーの予約管理機能にアクセスしたり、不正な操作を行ったりする可能性があります。これにより、予約システムの誤動作や顧客情報の漏洩につながる可能性があります。
    • 重要度: ** (Medium) – 5.3** (CVSS評価)
    • 対策: プラグインをバージョン 1.2.2 以降にアップデートしてください。この脆弱性はパッチ済みです。
  23. Terms & Conditions Per Product <= 1.2.15 – 認証の欠如
    • 危険性: 認証されていない攻撃者が、製品ごとの利用規約の設定にアクセスしたり、不正に変更したりする可能性があります。これにより、意図しない規約が表示されたり、法的リスクが発生したりする可能性があります。
    • 重要度: ** (Medium) – 5.3** (CVSS評価)
    • 対策: プラグインをバージョン 1.2.16 以降にアップデートしてください。この脆弱性はパッチ済みです。
  24. WIP WooCarousel Lite <= 1.1.7 – クロスサイトリクエストフォージェリ (CSRF) からの保存型クロスサイトスクリプティング (XSS)
    • 危険性: 攻撃者が、管理者を騙して悪意のある操作を実行させることができます。この脆弱性では、CSRFを通じてXSS攻撃が仕込まれ、管理者が意図しないスクリプトを保存してしまう可能性があります。保存されたスクリプトは、サイト訪問者のブラウザ上で実行され、アカウントの乗っ取りや悪意のあるサイトへのリダイレクトなどの被害を引き起こす可能性があります。
    • 重要度: ** (Medium) – 6.1** (CVSS評価 – 他のCSRFからXSSの脆弱性と同様の評価)
    • 対策: プラグインをバージョン 1.1.8 以降にアップデートしてください。この脆弱性はパッチ済みです。
  25. WooCommerce Fattureincloud <= 2.6.7 – 反射型クロスサイトスクリプティング
    • 危険性: 悪意のあるスクリプトがURLパラメータなどを介して埋め込まれ、ユーザーがそのリンクをクリックすることで、意図しない動作（アカウントの乗っ取り、機密情報の漏洩など）が実行される可能性があります。
    • 重要度: ** (Medium) – 6.1** (CVSS評価)
    • 対策: プラグインをバージョン 2.6.8 以降にアップデートしてください。この脆弱性はパッチ済みです。
  26. Cart tracking for WooCommerce <= 1.0.16 – 認証された管理者によるSQLインジェクション
    • 危険性: 管理者権限を持つ攻撃者が、悪意のあるSQLクエリを実行し、データベース内の情報を不正に取得、変更、削除する可能性があります。これにより、顧客データや注文情報が漏洩したり、サイトの機能が破壊されたりする可能性があります。
    • 重要度: ** (Medium) – 4.9** (CVSS評価)
    • 対策: プラグインをバージョン 1.0.17 以降にアップデートしてください。この脆弱性はパッチ済みです。
  27. FlexStock <= 3.13.1 – 認証された管理者によるSQLインジェクション
    • 危険性: 管理者権限を持つ攻撃者が、悪意のあるSQLクエリを実行し、データベース内の情報を不正に取得、変更、削除する可能性があります。これは、WooCommerceの在庫管理に関連する情報に影響を与える可能性があります。
    • 重要度: ** (Medium) – 4.9** (CVSS評価)
    • 対策: プラグインをバージョン 3.13.2 以降にアップデートしてください。この脆弱性はパッチ済みです。
  28. MC Woocommerce Wishlist <= 1.8.9 – 認証された管理者によるSQLインジェクション
    • 危険性: 管理者権限を持つ攻撃者が、悪意のあるSQLクエリを実行し、データベース内の情報を不正に取得、変更、削除する可能性があります。これは、ユーザーのウィッシュリスト情報に影響を与える可能性があります。
    • 重要度: ** (Medium) – 4.9** (CVSS評価)
    • 対策: プラグインをバージョン 1.9.0 以降にアップデートしてください。この脆弱性はパッチ済みです。
  29. Product Author for WooCommerce <= 1.0.7 – クロスサイトリクエストフォージェリ (CSRF)
    • 危険性: 攻撃者が、管理者を騙して意図しない操作（プラグインの設定変更など）を実行させる可能性があります。
    • 重要度: ** (Medium) – 4.3** (CVSS評価)
    • 対策: プラグインをバージョン 1.0.8 以降にアップデートしてください。この脆弱性はパッチ済みです。
  30. Currency Switcher for WooCommerce <= 0.0.7 – クロスサイトリクエストフォージェリ (CSRF)
    • 危険性: 攻撃者が、管理者を騙して意図しない操作（通貨設定の変更など）を実行させる可能性があります。これにより、サイトの表示通貨が不正に変更される可能性があります。
    • 重要度: ** (Medium) – 4.3** (CVSS評価)
    • 対策: プラグインをバージョン 0.0.8 以降にアップデートしてください。この脆弱性はパッチ済みです。
  31. Custom Fields Account Registration For Woocommerce <= 1.1 – クロスサイトリクエストフォージェリ (CSRF)
    • 危険性: 攻撃者が、管理者を騙して意図しない操作（アカウント登録項目の変更など）を実行させる可能性があります。
    • 重要度: ** (Medium) – 4.3** (CVSS評価)
    • 対策: プラグインをバージョン 1.2 以降にアップデートしてください。この脆弱性はパッチ済みです。
  32. Gift Message for WooCommerce <= 1.7.8 – クロスサイトリクエストフォージェリ (CSRF)
    • 危険性: 攻撃者が、管理者を騙して意図しない操作（ギフトメッセージ設定の変更など）を実行させる可能性があります。
    • 重要度: ** (Medium) – 4.3** (CVSS評価)
    • 対策: プラグインをバージョン 1.7.9 以降にアップデートしてください。この脆弱性はパッチ済みです。
  33. Product Import Export for WooCommerce <= 2.5.0 – 認証された管理者によるディレクトリトラバーサルから限定的な任意のファイル読み取り (download_file 関数経由)
    • 危険性: 管理者権限を持つ攻撃者が、サーバー上の制限された範囲内のファイルをダウンロードできる可能性があります。これにより、機密情報が漏洩する可能性があります。
    • 重要度: ** (Medium) – 4.9** (CVSS評価)
    • 対策: プラグインをバージョン 2.5.1 以降にアップデートしてください。この脆弱性はパッチ済みです。
  34. Serial Codes Generator and Validator with WooCommerce Support <= 2.7.7 – クロスサイトリクエストフォージェリ (CSRF)
    • 危険性: 攻撃者が、管理者を騙して意図しない操作（シリアルコードの生成や設定変更など）を実行させる可能性があります。これにより、不正なシリアルコードが生成されたり、正規のシリアルコードが無効化されたりする可能性があります。
    • 重要度: ** (Medium) – 4.3** (CVSS評価)
    • 対策: プラグインをバージョン 2.7.8 以降にアップデートしてください。この脆弱性はパッチ済みです。
  35. Shipmondo – A complete shipping solution for WooCommerce <= 5.0.3 – 認証された顧客による情報漏洩
    • 危険性: 認証された顧客が、本来アクセスできない他の顧客の出荷情報などの機密情報にアクセスできる可能性があります。
    • 重要度: ** (Medium) – 4.3** (CVSS評価)
    • 対策: プラグインをバージョン 5.0.4 以降にアップデートしてください。この脆弱性はパッチ済みです。
  36. TWB Woocommerce Reviews <= 1.7.7 – クロスサイトリクエストフォージェリ (CSRF)
    • 危険性: 攻撃者が、管理者を騙して意図しない操作（レビュー設定の変更など）を実行させる可能性があります。
    • 重要度: ** (Medium) – 4.3** (CVSS評価)
    • 対策: プラグインをバージョン 1.7.8 以降にアップデートしてください。この脆弱性はパッチ済みです。
  37. WP ERP <= 1.13.4 – 認証の欠如
    • 危険性: 認証されていない、または権限の低いユーザーが、本来アクセスできないWP ERPの機能やデータにアクセスできる可能性があります。WP ERPは人事、CRM、会計などの機能を含むため、悪用されると機密情報への不正アクセスや業務妨害につながる可能性があります。WooCommerce CRM機能も含まれるため、顧客データへの不正アクセスも懸念されます。
    • 重要度: ** (Medium) – 4.3** (CVSS評価)
    • 対策: プラグインをバージョン 1.13.5 以降にアップデートしてください。この脆弱性はパッチ済みです。
  38. WP Google Review Slider <= 16.0 – クロスサイトリクエストフォージェリ (CSRF) からの SQLインジェクション
    • 危険性: 攻撃者が、管理者を騙して悪意のある操作を実行させ、SQLインジェクションを引き起こす可能性があります。これにより、データベース内の情報が不正に取得、変更、削除される可能性があります。レビュー情報は顧客の信頼に影響するため、改ざんされると問題が生じる可能性があります。
    • 重要度: ** (Medium) – 4.3** (CVSS評価)
    • 対策: プラグインをバージョン 16.1 以降にアップデートしてください。この脆弱性はパッチ済みです。
  39. Product Import Export for WooCommerce <= 2.5.0 – 認証された管理者によるディレクトリトラバーサルから限定的な任意のファイル削除 (admin_log_page 関数経由)
    • 危険性: 管理者権限を持つ攻撃者が、サーバー上の制限された範囲内のファイルを削除できる可能性があります。誤って重要なファイルを削除した場合、サイトの機能に影響が出る可能性があります。
    • 重要度: ** (Low) – 2.7** (CVSS評価)
    • 対策: プラグインをバージョン 2.5.1 以降にアップデートしてください。この脆弱性はパッチ済みです。

重要な注意点

  • 常に最新バージョンを使用する: プラグインやテーマは常に最新バージョンを使用することが重要です。開発者は脆弱性を修正した新しいバージョンをリリースすることが多いため、更新を怠らないようにしましょう。
  • 信頼できるソースから入手する: プラグインやテーマは、WordPress.org の公式ディレクトリや、信頼できる開発元から入手するようにしましょう。
  • セキュリティプラグインを使用する: セキュリティプラグインを使用することで、サイトのセキュリティを強化することができます。
  • バックアップを定期的に行う: 万が一の事態に備えて、サイトのバックアップを定期的に行うようにしましょう。

これらの情報が、サイトのセキュリティ対策に役立つことを願っています。

セキュリティー対策 for WooCommerce(日本セキュリティガイドライン対応)

セキュリティー対策 for WooCommerce(日本セキュリティガイドライン対応)

WooCommerce サイトに対して最適な保守を行います。

定期購入費用が最低価格: ¥3,300 税込 / 3ヶ月 継続期間 12ヶ月と登録費用が¥11,000
今すぐショッピング