WordPress BookItにSQLインジェクションの脆弱性
予約管理プラグインのWordPress BookIt 2.6.0.6以前に、認証なしで外部から突けるSQLインジェクションの脆弱性が公表されました。利用中のサイトは版を確認し、修正版があれば更新、なければ無効化を検討してください。
急ぎ度: 早めに
CVSS v3は9.3で、認証もユーザー操作も要らずネットワーク越しに届く条件のため、公表直後でも数日以内に版の確認と対処を済ませたい脆弱性です。
関係があるか
WordPressでBookItを使って予約受付を公開している企業・店舗・団体のサイトが対象です。管理を外部の制作会社に任せているサイトも、プラグインが入っていれば同じです。
| 製品 | 影響を受ける版 | 修正版 |
|---|---|---|
| BookIt（Liquid Web / StellarWP） | 2.6.0.6以前のすべての版 | 修正版の版番号は、ベンダーの告知とプラグインの更新画面で確認してください |
確かめ方
- 1WordPressの管理画面で「プラグイン」を開き、BookItが入っているか、有効になっているか、版がいくつかを見る
- 2サーバーにSSHで入れるなら、
wp plugin get bookit --field=versionで版だけを確認できる - 3複数サイトを預かっている場合は、制作会社や保守業者にBookItの有無を一覧で出してもらう
何が起きたか
予約管理プラグインのBookItに、利用者が送った入力値がデータベースへの命令にそのまま混ざってしまう脆弱性が見つかりました。2026年11月1日に公表されたばかりで、2.6.0.6までの版が影響を受けます。
分類はCWE-89のSQLインジェクションです。SQL文に使われる特殊な文字が適切に処理されないことが原因で、開発元はLiquid Web / StellarWPです。
CVSS v3は9.3で、深刻度は最も高い区分のcriticalです。公表の情報源はPatchstackの脆弱性データベースで、記録の時点では詳細な技術情報や実際の悪用の報告は示されていません。
攻撃の流れ
-
1
公開サイトに到達
BookItが入った予約サイトに、インターネット側から誰でもアクセスできる。
-
2
入力値を送る
ログインしていない状態で、プラグインが受け付ける入力に不正な値が送られる。
-
3
命令が書き換わる
入力値がデータベースへの命令の一部として扱われ、本来想定されない問い合わせが実行される。
-
4
情報が読み出される
データベースの内容が外部に読み出され、負荷によってサイトの動作に影響が出ることもある。
どう悪用されるか
悪用に必要なのは、サイトにネットワークから届くことだけです。ログインなどの認証は要らず、管理者や来訪者に何かを操作させる必要もありません。攻撃の複雑さは低いと評価されています。
CVSSの評価では、機密性への影響が高、可用性への影響が低、改ざんへの影響はなしです。主な被害は、データベースに入っている情報の読み出しです。BookItが保存する予約の記録（顧客の名前や連絡先が含まれることが多い）に加え、同じデータベースにある別の情報にも影響が及ぶと評価されています。
そのほか、サイトの応答が遅くなるなど、動作への軽い影響もありえます。
今すぐやること
-
1
BookItの有無と版を確認する
管理画面のプラグイン一覧か、コマンドで版を調べます。2.6.0.6以前なら対象です。BookItが入っていないサイトは対応不要です。
wp plugin get bookit --field=version -
2
修正版に更新する
ベンダーの告知とプラグインの更新画面を見て、修正版が出ていれば更新します。更新前にファイルとデータベースのバックアップを取り、更新後は予約フォームが動くかを一通り試してください。
-
3
修正版が見当たらなければ無効化する
更新画面に新しい版が出ていない場合は、修正版が出るまでBookItを無効化します。予約受付は止まるため、電話やメールなど代わりの窓口を先に用意しておくと混乱を避けられます。
-
4
不審なアクセスの跡を調べる
公表から日が浅く、悪用が確認されたとは言えませんが、Webサーバーのアクセスログで予約機能への異常な大量リクエストやエラーの急増がないかを見ておきます。疑わしい跡があれば、管理者パスワードの変更と、顧客情報の漏えい有無の調査に進んでください。
修正版がないあいだのつなぎ
修正版をすぐに当てられないときは、BookItを無効化するのが確実です。止められない場合は、WAFでSQLインジェクションを検知する規則を有効にし、予約機能へのアクセスを監視してください。ただしWAFは完全な防御にならないため、修正版を当てるまでのつなぎと考えてください。
背景
BookItは、WordPressのサイトに予約フォームと予約管理の画面を足すプラグインです。店舗、サロン、教室、診療所の予約サイトなどで使われ、予約者の名前や連絡先、予約日時がWordPressのデータベースに保存されます。予約の窓口なので、ログインしていない来訪者から入力を受けることが前提の機能です。
SQLインジェクションは、入力値の扱いを誤ると、データベースの中身が外から読まれる脆弱性です。WordPressのプラグインはデータベースをWordPress本体と共有するため、プラグイン1つの欠陥が、予約データ以外の情報にも波及しうるのが特徴です。今回のCVSSで影響範囲が「変更あり」と評価されているのも、この構造が背景にあるとみられます。
よくある質問
Q.BookItを無効化しているだけで削除していません。影響はありますか。
この記事は、取得元の公開情報をもとに、人が監修しながらAIを活用して執筆しています。執筆と監修は佐々木 航が担い、公開したあとも人が内容を確認しています。誤りに気づいたときは直し、記事の末尾に訂正の行を残します。対応を決める前に、下の原文と参照先も確認してください。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 修正版 |
|---|---|---|---|
| Liquid Web / StellarWP | BookIt |
2.6.0.6 以前 |
— |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection') vulnerability in Liquid Web / StellarWP BookIt bookit allows SQL Injection.This issue affects BookIt: from n/a through 2.6.0.6.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web audit@patchstack.com
- web nvd.nist.gov
- web github.com