Printaura-Woocommerceで認証回避の脆弱性、修正版なし
WordPressのプラグインPrintaura-Woocommerceの4.0.2以前では、ログインなしで注文や顧客の個人情報、決済設定を読み書きされるおそれがあります。修正版は確認されていないため、使っているストアはプラグインを止め、侵害の跡を調べてください。
急ぎ度: 至急
CVSS v3は9.1で、認証なしに顧客情報や決済設定を読み書きでき、修正版も確認されていないためです。
関係があるか
WordPressのWooCommerceでストアを運営し、Printaura-Woocommerceプラグインを入れている組織が対象です。プラグインを使っていなければ、この脆弱性の対象外です。
| 製品 | 影響を受ける版 | 修正版 |
|---|---|---|
| Printaura-Woocommerce（WordPressプラグイン。WPScanの表記はprintaura-woocommerce-api） | 4.0.2以前のすべての版 | 修正版は確認されていません。WPScanは「No known fix」と記載しています。 |
確かめ方
- 1WordPressの管理画面でプラグインの一覧を開き、Printaura-Woocommerceが入っているか、版が4.0.2以前かを見ます。
- 2WP-CLIが使える環境では、次のコマンドでプラグインの名前・状態・版を一覧にできます。
- 3複数のストアやステージング環境を持つ場合は、すべての環境で同じ確認をします。
何が起きたか
Printaura-Woocommerceプラグインを入れたWooCommerceストアで、ログインしていない第三者が、顧客の注文や個人情報、ストアや決済の設定、webhookを読み取り、書き換えられる脆弱性です。
原因は、プラグインがWooCommerce REST APIへのアクセスを正しく制限していないことです。その結果、WooCommerceのREST APIのすべてのルートが、認証のないリクエストを受け付けます。分類はCWE-287（不適切な認証）で、CVSS v3は9.1です。
WPScanは、この脆弱性を2026年11月9日に公開しました。報告者はNaoki Kawahigashi氏で、WPScanは検証済みとしています。CVEとしての公表は11月11日です。
攻撃の流れ
-
1
認証なしで要求
ログイン情報を持たない第三者が、インターネット経由でWooCommerce REST APIに要求を送ります。
-
2
認証が働かない
プラグインのアクセス制限が不十分なため、すべてのルートが要求をそのまま受け付けます。
-
3
データを読み取る
顧客の注文と個人情報、ストアや決済の設定、webhookの内容が取得されます。
-
4
設定を書き換える
同じ経路で、ストアのデータや設定、webhookが書き換えられます。
どう悪用されるか
悪用にログインは要りません。インターネットからストアに届く経路があれば足り、ストアの管理者や利用者に何かを操作させる必要もありません。CVSSのベクターでも、ネットワーク経由・攻撃条件が低い・権限不要・利用者の操作不要とされています。
悪用されると、顧客の氏名や住所を含む注文情報、決済を含むストアの設定、webhookが読み取られます。書き換えもできるため、機密性と完全性への影響はどちらも高く評価されています。可用性への影響はありません。
今すぐやること
-
1
入っているか、版は何かを確認する
管理画面のプラグイン一覧か、WP-CLIでPrintaura-Woocommerceの有無と版を調べます。4.0.2以前なら対象です。
wp plugin list --fields=name,status,version -
2
プラグインを無効化する
対象の版が見つかったら、修正版を待たずにプラグインを無効化します。Printauraとの連携が止まるため、受注や発送の運用への影響を先に確認し、連携が不要なら削除します。
-
3
侵害の跡を調べる
Webサーバーのアクセスログで、WooCommerce REST APIへ認証なしに届いたリクエストを探します。あわせて、注文や顧客データの不審な変更、身に覚えのないwebhookの宛先、決済設定の改変がないかを管理画面で見ます。公表は11月ですが、遡れるログはすべて確認します。
-
4
疑わしい跡があれば資格情報を替える
不審な変更や読み取りが見つかったら、決済サービスのAPIキーやWooCommerceのAPIキー、管理者のパスワードを再発行します。個人情報の漏えいが疑われる場合は、社内のインシデント対応手順に沿って報告の要否を判断します。
-
5
ベンダーの告知を確かめる
修正版や代替の連携方法は、Printauraの告知とプラグインの配布ページで確認します。修正版が出たと確認できるまで、プラグインを再び有効にしません。代替が見つからない場合は、連携を別の手段に移す計画を立てます。
修正版がないあいだのつなぎ
修正版が確認されていないため、プラグインの無効化が最も確実なつなぎです。無効化できない事情があるときは、Webサーバーや前段のWAFで、WooCommerce REST APIへのアクセスを信頼できる送信元に限る方法があります。ただしREST APIには複数の呼び出し形式があり、パスだけの制限では漏れる可能性があります。その場合も、早めに無効化へ進めてください。
背景
WooCommerce REST APIは、注文・顧客・商品・ストア設定を外部のシステムから読み書きするための窓口です。本来はAPIキーなどで相手を確認してから使わせます。今回の脆弱性は、拡張側のプラグインがこの確認を効かなくしてしまった形で、WooCommerce本体の更新状況とは別に、拡張を一つずつ点検する必要があります。
WPScanの同じ画面には、Eupago Gateway For WooCommerceの支払い確認の回避や、Deema Payment Gatewayでの注文操作など、WooCommerce連携プラグインの認証回避が並んでいます。これらはこの脆弱性とは別の件ですが、決済や注文に近い拡張ほど、認証の不備が金銭や個人情報に直結します。
よくある質問
Q.APIキーを発行していないストアでも対象になりますか。
この記事は、取得元の公開情報をもとに、人が監修しながらAIを活用して執筆しています。執筆と監修は佐々木 航が担い、公開したあとも人が内容を確認しています。誤りに気づいたときは直し、記事の末尾に訂正の行を残します。対応を決める前に、下の原文と参照先も確認してください。
影響パッケージ
| パッケージ | 影響を受ける版 → 修正版 | |
|---|---|---|
| CVE の記録Printaura-Woocommerce |
4.0.2 以前→ 記載なし |
記載なし |
この記録には修正版の版が載っていません。修正版の有無と版は、本文か参照URLのベンダーの勧告で確かめてください。
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
The Printaura-Woocommerce WordPress plugin through 4.0.2 does not properly restrict access to the WooCommerce REST API, causing every WooCommerce REST route to accept unauthenticated requests, which allows unauthenticated attackers to read and modify store data including customer orders and personal information, store and payment settings, and webhooks.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web contact@wpscan.com
- web nvd.nist.gov
- web wpscan.com
- web github.com