30秒で判断
- 対応すべき人: WordPress/WooCommerceプラグイン「3D Product configurator for WooCommerce」2.16.2以前を使用している方
- 対応不要な人: 当該プラグインを使用していない方
- 確認コマンド: WordPress管理画面のプラグイン一覧で「3D Product configurator for WooCommerce」のバージョンを確認
概要
CVE-2026-103889 は、WooCommerce向けプラグイン「3D Product configurator」の2.16.2以前に存在するリモートコード実行の脆弱性です。
wp_loadedフック上のハンドラがxpv_imageパラメータを処理する際、認証チェックとnonceチェックが行われておらず、かつこのパラメータの値がサニタイズされずにDompdfでレンダリングされるHTMLテンプレートへそのまま出力されます。本来存在すべき認証・nonceチェックはコメントアウトされて無効化されており、置き換えもされていません。この結果、未認証の攻撃者が単一のPOSTリクエストをサイトの任意のURLへ送るだけで、サーバー上でコードを実行できる可能性があります。
CVSSと攻撃の前提
| 項目 | 内容 |
|---|---|
| CVSSスコア | 9.8（Critical） |
| 認証 | 不要（未認証で実行可能） |
| 前提 | プラグインが有効化されていること |
| 影響 | リモートコード実行 |
影響を受けるソフトウェア
| 製品 | バージョン |
|---|---|
| 3D Product configurator for WooCommerce（WordPressプラグイン） | 2.16.2以前 |
修正バージョンと回避策
- プラグイン提供元の更新情報を確認し、2.16.2より新しいバージョンへアップデートしてください。
- アップデートが難しい場合は、プラグインを一時的に無効化することを検討してください。
関連リンク
データソース: NVD (NIST) AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。