Amelia に SQL インジェクションの弱点、2.4.11 以前が対象
WordPress の予約プラグイン Amelia(ameliabooking)の 2.4.11 以前に、ログインなしでデータベースを不正に操作されるおそれのある弱点が見つかりました。予約サイトを WordPress で運用している組織が対象で、深刻度は CVSS 9.3 の「緊急」です。まず導入版を確認し、ベンダーの告知で修正版を確かめて更新してください。
急ぎ度: 早めに
認証なしでネットワーク越しに悪用できる深刻度 9.3 の弱点ですが、実際の攻撃での悪用が確認されたとの公表は現時点でありません。
関係があるか
WordPress に Amelia(ameliabooking)プラグインを入れ、予約受付ページをインターネットに公開している組織や店舗が当てはまります。サロン、クリニック、教室、宿泊や各種サービスの予約サイトなどが典型です。
| 製品 | 影響を受ける版 | 直った版 |
|---|---|---|
| Amelia(ameliabooking、WordPress プラグイン) | 2.4.11 以前のすべての版 | 修正版の版番号は公表されていません。ベンダーの告知と Patchstack の情報で確認してください。 |
確かめ方
- 1WordPress 管理画面の「プラグイン」一覧で Amelia の版を確認します。2.4.11 以前なら対象です。
- 2サーバーに WP-CLI があれば、下記のコマンドで版を確かめられます。
- 3複数サイトを管理している場合は、子会社や委託先、過去に制作会社が構築した予約サイトも含めて洗い出します。
- 4管理画面から Amelia を使っているか分からないサイトは、プラグイン一覧に ameliabooking が無いかを確認します。
何が起きたか
WordPress 用の予約管理プラグイン Amelia に、SQL インジェクションと呼ばれる種類の弱点が見つかりました。予約サイトの裏側にはデータベースがあり、プラグインはそこへ「命令文」を送って予約情報を出し入れしています。この弱点では、外部から送られた値の扱いが不十分で、意図しない命令がデータベースに伝わる可能性があります。
分類は CWE-89(SQL コマンドで使われる特殊要素の不適切な無害化)です。影響を受けるのは 2.4.11 までの版です。CVSS v3.1 のベクターは AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:N/A:L で、基本スコアは 9.3 です。公開日は 2026年10月22日で、GitHub Advisory Database では GHSA-r9cv-qg27-pgxq としても登録されています。
どの機能のどの入力が問題なのかといった技術的な詳細は、ここでは取り上げません。詳しくは Patchstack の告知を参照してください。
攻撃の流れ
-
1
公開ページを発見
攻撃者がインターネット上で Amelia を使う予約サイトを見つけます。
-
2
細工した要求を送信
ログインなしで、サイトに特殊な値を含む要求を送ります。
-
3
命令が DB に到達
プラグインが値を安全に処理できず、意図しない命令がデータベースに渡ります。
-
4
情報の読み取り
データベース内の情報が外部に漏れるおそれがあります。
どう悪用されるか
CVSS の評価では、ネットワーク経由で攻撃でき、特別な条件は不要で、ログイン(権限)も利用者の操作も要りません。予約ページをインターネットに公開していれば、見知らぬ第三者が到達できる状態です。
被害の中心は情報の漏えいで、機密性への影響は「高」、可用性への影響は「低」と評価されています。データの改ざんは評価上「なし」です。ただし影響範囲(スコープ)が変わる評価になっており、プラグイン単体にとどまらず、同じデータベースの内容へ影響が及ぶ可能性を示しています。予約システムには顧客の氏名や連絡先、予約履歴が入っていることが多く、個人情報の取り扱いに関わる事故になりかねません。
実際の攻撃で悪用されたかどうかは、現時点で公表されていません。
今すぐやること
-
1
導入している版を確認する
管理画面のプラグイン一覧か WP-CLI で Amelia の版を確かめ、2.4.11 以前かどうかを判断します。
wp plugin get ameliabooking --field=version -
2
修正版の有無をベンダー情報で確認する
Amelia 提供元の告知と、参考情報の Patchstack のページで、修正された版番号を確かめます。
-
3
バックアップを取ってから更新する
サイトとデータベースのバックアップを取り、ステージング環境などで動作を確認したうえで、修正版へ更新します。予約の受付時間帯を避けると影響を抑えられます。
-
4
不審なアクセスの痕跡を点検する
更新前の期間について、予約関連の URL への異常な要求や、データベースエラーの増加が無いかを Web サーバーとアプリケーションのログで確認します。
-
5
個人情報の取り扱い窓口に共有する
顧客情報を保存している場合は、漏えいの疑いが出たときにすぐ動けるよう、社内の個人情報管理の担当者へ状況を伝えておきます。
すぐ更新できないとき
修正版をすぐに適用できない場合は、Amelia プラグインを一時的に無効化するのが確実です。予約の受付は止まるため、電話やメールなど代わりの受付手段を用意してください。止められない場合は、WAF(Web アプリケーションファイアウォール)で SQL インジェクションの検知と遮断を有効にし、被害のリスクを下げます。ただし WAF は根本的な対策ではなく、更新までのつなぎです。
背景
Amelia のような予約管理プラグインは、お客様がブラウザから日時やサービスを選んで予約できるようにする仕組みです。そのため、予約ページは不特定多数に公開され、裏のデータベースには顧客の氏名や連絡先、予約履歴が蓄積されます。公開されていて価値のある情報があるという条件が重なるため、攻撃者から見て魅力的な対象になりやすい種類の製品です。
SQL インジェクションは、Web アプリケーションの弱点としてはとても古くからある種類です。入力値を命令文に組み込む際の処理が甘いと発生し、WordPress のプラグインでも繰り返し見つかってきました。対策の基本は、入力値を命令文と切り分けて渡す「プレースホルダ(バインド機構)」の利用です。利用者側では、プラグインを最新に保ち、使っていないものは削除することが有効です。
よくある質問
Q.Amelia を使っていますが、ログインしていない訪問者にも悪用されますか。
Q.すでに攻撃を受けたかどうかは分かりますか。
Q.更新すればこの問題は解消しますか。
まだ分かっていないこと
- 修正版の具体的な版番号と、更新の入手方法は公表されていません。
- 実際の攻撃で悪用されたかどうかは明らかになっていません。
- 問題のある機能や入力の詳細、無料版と有料版で影響に違いがあるかは公表されていません。
この記事は、取得元の公開情報をもとに生成 AI で作成しています。誤りを含むことがあります。対応を決める前に、下の原文と参照先を確認してください。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 直った版 |
|---|---|---|---|
| TMS | Amelia |
2.4.11 以前 |
— |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection') vulnerability in TMS Amelia ameliabooking allows SQL Injection.This issue affects Amelia: from n/a through 2.4.11.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web audit@patchstack.com
- web nvd.nist.gov
- web github.com