概要
WordPress に 脆弱性 (CVE-2026-4896) が存在。データの不正な改ざんを許す可能性があります。wcfm_modify_order_status 経由で攻撃可能。
原文の説明
取得元が公開している説明をそのまま載せています (多くは英語)。
The WCFM – Frontend Manager for WooCommerce along with Bookings Subscription Listings Compatible plugin for WordPress is vulnerable to Insecure Direct Object Reference in all versions up to, and including, 6.7.25 via multiple AJAX actions including wcfm_modify_order_status, delete_wcfm_article, delete_wcfm_product, and the article management controller due to missing validation on user-supplied object IDs. This makes it possible for authenticated attackers, with Vendor-level access and above, to modify the status of any order, delete or modify any post/product/page, regardless of ownership.
出典: NIST National Vulnerability Database NVD
AI要約
外部の AI が作成した要約です。誤りを含むことがあります。重要な判断の前に、下の原文と参照URLを確認してください。
WCFM – Frontend Manager for WooCommerceとBookings Subscription Listings Compatibleプラグインにおける全バージョン（6.7.25まで）において、認証された攻撃者が他人の注文状況を変更したり、ポスト/商品/ページを削除または修正できる脆弱性があります。これらはIDOR（Insecure Direct Object Reference）によるもので、ユーザーから提供されるオブジェクトIDに対するチェックが欠如しています。
WCFMとBookingsプラグインにIDORの脆弱性が存在します。
WooCommerce向けWCFMプラグインのバージョン6.7.25まで
攻撃者は他のユーザーのオブジェクトに不正アクセス可能で、重大なデータ変更が行えます。
ユーザー提供のオブジェクトIDに対する厳密な検証を導入してください。
セキュリティプラグインを利用して、疑わしいアクセスの監視と制限を設定することで一時回避できます。
ログをチェックし、通常以上のオブジェクト変更があったかを確認します。