WordPressサイトのセキュリティを維持するためには、プラグインを常に最新の状態に保つことが重要です。セキュリティ企業のWordfenceが公開した週次脆弱性レポート（2025年4月21日～4月27日）によると、今週も多くのプラグインに脆弱性が発見されました。

この記事では、その中から特にWooCommerceに関連するプラグインの脆弱性情報をピックアップし、日本語で概要と対策をまとめました。ご利用中のプラグインが含まれていないかご確認いただき、迅速な対応をお願いいたします。

脆弱性が確認されたWooCommerce関連プラグインと対策

以下に、今回報告された脆弱性情報の中から、WooCommerceに関連するプラグインをピックアップし、その内容と対策をまとめました。

---

Checkout Field Visibility for WooCommerce [Unpatched]

• 影響バージョン: 1.2.3 以下
• 深刻度: 緊急 (Critical 9.8) ※CVSS v3.1 スコア
• CVE-ID: CVE-2025-39391
• 状態: パッチ未提供 (Unpatched)
• 脆弱性の概要: 認証なしでサーバー上のファイルが読み取られる可能性 (ローカルファイルインクルージョン)。
• 考えられる影響: サイト設定ファイル（wp-config.phpなど）が漏洩し、データベース情報などが盗まれる危険性があります。攻撃者がサイトの管理権限を奪う足がかりになる可能性があります。
• 推奨される対策: 状態がパッチ未提供のため、直ちにプラグインを無効化し、代替プラグインの利用を検討してください。開発元に対応を求めることも有効です。

---

CiyaShop – Multipurpose WooCommerce Theme [Unpatched]

• 影響バージョン: 4.18.0 以下
• 深刻度: 緊急 (Critical 9.8) ※CVSS v3.1 スコア
• CVE-ID: CVE-2025-39349
• 状態: パッチ未提供 (Unpatched)
• 脆弱性の概要: 認証なしで任意のPHPコードが実行される可能性 (PHPオブジェクトインジェクション)。
• 考えられる影響: 非常に危険度の高い脆弱性です。サイトの完全な乗っ取り、データの改ざん・漏洩、悪意のあるサイトへのリダイレクト、他のサーバーへの攻撃の踏み台化など、深刻な被害につながる可能性があります。
• 推奨される対策: 状態がパッチ未提供のため、直ちにテーマを無効化し、代替テーマを検討するか、信頼できるバックアップからサイトを復元してください。開発元に対応を求めることも有効です。

---

Spreadsheet Price Changer for WooCommerce and WP E-commerce – Light [Unpatched]

• 影響バージョン: 2.4.37 以下
• 深刻度: 緊急 (Critical 9.8) ※CVSS v3.1 スコア
• CVE-ID: CVE-2025-39378
• 状態: パッチ未提供 (Unpatched)
• 脆弱性の概要: 認証なしでサーバー上のファイルが読み取られる可能性 (ローカルファイルインクルージョン)。
• 考えられる影響: サイト設定ファイルなどが漏洩し、データベース情報やAPIキーなどが盗まれる危険性があります。
• 推奨される対策: 状態がパッチ未提供のため、直ちにプラグインを無効化し、代替プラグインの利用を検討してください。開発元に対応を求めることも有効です。

---

SUMO Reward Points for WooCommerce [Unpatched]

• 影響バージョン: 30.7.0 以下
• 深刻度: 緊急 (Critical 9.8) ※CVSS v3.1 スコア
• CVE-ID: CVE-2025-32925
• 状態: パッチ未提供 (Unpatched)
• 脆弱性の概要: 認証なしでサーバー上のファイルが読み取られる可能性 (ローカルファイルインクルージョン)。
• 考えられる影響: サイト設定ファイルなどが漏洩し、データベース情報や重要な設定情報が盗まれる危険性があります。
• 推奨される対策: 状態がパッチ未提供のため、直ちにプラグインを無効化し、代替プラグインの利用を検討してください。開発元に対応を求めることも有効です。

---

Integração entre Eduzz e Woocommerce [Unpatched]

• 影響バージョン: 1.5.0 から 1.7.5
• 深刻度: 重要 (High 8.8) ※CVSS v3.1 スコア
• CVE-ID: CVE-2025-3906
• 状態: パッチ未提供 (Unpatched)
• 脆弱性の概要: 購読者（Subscriber）以上の権限を持つログインユーザーが、本来許可されていない操作を行える可能性 (権限昇格につながる認可不備)。
• 考えられる影響: 低権限のユーザーアカウント（例：顧客アカウント）が乗っ取られた場合、攻撃者が管理者権限などを不正に取得し、サイトを自由に操作できてしまう可能性があります。
• 推奨される対策: 状態がパッチ未提供のため、直ちにプラグインを無効化し、代替プラグインの利用を検討してください。また、サイトのユーザー権限管理が適切か見直すことも重要です。開発元に対応を求めることも有効です。

---

ShopLentor – WooCommerce Builder for Elementor & Gutenberg +20 Modules – All in One Solution (formerly WooLentor)

• 影響バージョン: 3.1.2 以下
• 深刻度: 警告 (Medium 6.5) ※CVSS v3.1 スコア
• CVE-ID: CVE-2025-3775
• 状態: パッチ提供済み (Patched)
• 脆弱性の概要: 認証なしで、攻撃者がサーバーに意図しないリクエストを送信させられる可能性 (サーバーサイドリクエストフォージェリ – SSRF)。
• 考えられる影響: サーバー自身を踏み台にして、内部ネットワークの他のサーバーへアクセスされたり、クラウドサービスのメタデータが窃取されたりする可能性があります。
• 推奨される対策: 状態がパッチ提供済みのため、直ちに最新バージョン (3.1.2 より新しいバージョン) にアップデートしてください。

---

Tax Switch for WooCommerce

• 影響バージョン: 1.4.2 以下
• 深刻度: 警告 (Medium 6.4) ※CVSS v3.1 スコア
• CVE-ID: CVE-2025-3814
• 状態: パッチ提供済み (Patched)
• 脆弱性の概要: 寄稿者（Contributor）以上の権限を持つログインユーザーが、悪意のあるスクリプト（JavaScriptなど）をサイトのコンテンツに埋め込める可能性 (保存型クロスサイトスクリプティング – Stored XSS)。
• 考えられる影響: サイトを訪問した他のユーザー（管理者含む）が悪意のあるスクリプトを実行させられ、ブラウザに保存されている情報（Cookieなど）を盗まれたり、意図しない操作をさせられたりする可能性があります。
• 推奨される対策: 状態がパッチ提供済みのため、直ちに最新バージョン (1.4.2 より新しいバージョン) にアップデートしてください。

---

ELEX WooCommerce Advanced Bulk Edit Products, Prices & Attributes [Unpatched]

• 影響バージョン: 1.4.9 以下
• 深刻度: 警告 (Medium 6.5) ※CVSS v3.1 スコア
• CVE-ID: CVE-2025-3280
• 状態: パッチ未提供 (Unpatched)
• 脆弱性の概要: 購読者（Subscriber）以上の権限を持つログインユーザーが、データベースに対して不正なクエリを実行できる可能性 (SQLインジェクション)。
• 考えられる影響: データベースに保存されている顧客情報、注文情報、商品情報などが漏洩したり、改ざん・削除されたりする可能性があります。
• 推奨される対策: 状態がパッチ未提供のため、直ちにプラグインを無効化し、代替プラグインの利用を検討してください。また、サイトのユーザー権限管理を見直すことも重要です。開発元に対応を求めることも有効です。

---

Advanced Linked Variations for Woocommerce

• 影響バージョン: 1.0.3 以下
• 深刻度: 警告 (Medium 5.3) ※CVSS v3.1 スコア
• CVE-ID: CVE-2025-46244
• 状態: パッチ提供済み (Patched)
• 脆弱性の概要: 適切なアクセス権限のチェックが行われておらず、本来権限のないユーザーが特定の機能を利用できてしまう可能性 (認可の欠如)。
• 考えられる影響: 具体的な影響はプラグインの機能によりますが、権限のないユーザーが商品の関連付けなどを変更できてしまう可能性があります。
• 推奨される対策: 状態がパッチ提供済みのため、直ちに最新バージョン (1.0.3 より新しいバージョン) にアップデートしてください。

---

Bulk Assign Linked Products For WooCommerce [Unpatched]

• 影響バージョン: 2.1 以下
• 深刻度: 警告 (Medium 5.3) ※CVSS v3.1 スコア
• CVE-ID: CVE-2025-46489
• 状態: パッチ未提供 (Unpatched)
• 脆弱性の概要: 適切なアクセス権限のチェックが行われておらず、本来権限のないユーザーが特定の機能を利用できてしまう可能性 (認可の欠如)。
• 考えられる影響: 権限のないユーザーが、商品リンクの一括割り当て機能などを不正に利用できてしまう可能性があります。
• 推奨される対策: 状態がパッチ未提供のため、直ちにプラグインを無効化し、代替プラグインの利用を検討してください。開発元に対応を求めることも有効です。

---

Upsell Funnel Builder for WooCommerce

• 影響バージョン: 3.0.0 以下
• 深刻度: 警告 (Medium 5.3) ※CVSS v3.1 スコア
• CVE-ID: CVE-2025-3743
• 状態: パッチ提供済み (Patched)
• 脆弱性の概要: 認証されていないユーザー（ログインしていないユーザーなど）が、注文内容を不正に変更できてしまう可能性。
• 考えられる影響: 購入プロセス中に注文金額などが不正に書き換えられ、ストア側に損失が発生する可能性があります。
• 推奨される対策: 状態がパッチ提供済みのため、直ちに最新バージョン (3.0.0 より新しいバージョン) にアップデートしてください。

---

Recover abandoned cart for WooCommerce

• 影響バージョン: 2.2 以下
• 深刻度: 警告 (Medium 4.3) ※CVSS v3.1 スコア
• CVE-ID: CVE-2025-46243
• 状態: パッチ提供済み (Patched)
• 脆弱性の概要: ログイン中の管理者などが、意図しない操作（設定変更など）を強制的に実行させられる可能性 (クロスサイトリクエストフォージェリ – CSRF)。
• 考えられる影響: 管理者が悪意のあるリンクをクリックするなどした場合に、プラグインの設定が勝手に変更されてしまう可能性があります。
• 推奨される対策: 状態がパッチ提供済みのため、直ちに最新バージョン (2.2 より新しいバージョン) にアップデートしてください。

---

Woocommerce Automatic Order Printing | ( Formerly WooCommerce Google Cloud Print) [Unpatched]

• 影響バージョン: 4.1 以下
• 深刻度: 警告 (Medium 4.3) ※CVSS v3.1 スコア
• CVE-ID: CVE-2025-1284
• 状態: パッチ未提供 (Unpatched)
• 脆弱性の概要: 不適切なアクセス制御により、購読者（Subscriber）以上の権限を持つログインユーザーが、他のユーザーの注文情報を閲覧できてしまう可能性 (情報漏洩)。
• 考えられる影響: 本来アクセス権限のないユーザーに、他の顧客の注文情報（氏名、住所、購入商品など）が漏洩してしまう可能性があります。個人情報保護の観点からも重大な問題です。
• 推奨される対策: 状態がパッチ未提供のため、直ちにプラグインを無効化し、代替プラグインの利用を検討してください。また、サイトのユーザー権限管理を見直すことも重要です。開発元に対応を求めることも有効です。

---

一般的なセキュリティ対策

• 常に最新の状態を保つ: WordPress本体、テーマ、すべてのプラグインを常に最新バージョンにアップデートしてください。
• 不要なプラグインの削除: 使用していないプラグインやテーマは削除しましょう。
• 強力なパスワードの使用: 管理者アカウントには推測されにくい、複雑なパスワードを設定してください。
• セキュリティプラグインの導入: Wordfenceのようなセキュリティプラグインを導入し、設定を適切に行ってください。
• 定期的なバックアップ: サイトのデータを定期的にバックアップし、問題が発生した場合に復元できるようにしておきましょう。
• ユーザー権限の見直し: 各ユーザーアカウントに必要最小限の権限のみを付与してください。

免責事項

この記事は、提供されたWordfenceのレポートテキストに基づいて作成された概要です。脆弱性の詳細や正確な情報については、必ず元のレポートやプラグイン開発元の情報をご確認ください。プラグインのアップデートや削除は、ご自身の責任において実施してください。事前にバックアップを取得することを強く推奨します。