つみかさね

CVE-2026-115256

High(7.5)

Mail Debug for WooCommerceの認証不備 CVE-2026-115256：対応方法

公開日: 2026-11-10データソース: NVD, GitHub Advisory

影響を受けるソフトウェア

製品ベンダー影響バージョン
Mail Debug for WooCommerceWordPress Plugin<= 1.3.0

対応ガイド

high|推奨セキュリティ修正影響: 広範

推奨アクション

  1. 1影響を受けるバージョンを使用しているか確認する
  2. 2修正バージョンへのアップデートまたはパッチ適用を実施する
  3. 3アップデートが困難な場合は回避策を適用する

影響対象

WordPress + WooCommerce運営者

対応不要な人

  • ✓「Mail Debug for WooCommerce」プラグインを導入していない
  • ✓WooCommerceを使用していない

補足

  • -修正版が未提供の場合はプラグインの無効化・削除を優先してください
CVEWordPressWooCommerce

30秒で判断

対応すべき人

  • WordPressプラグイン「Mail Debug for WooCommerce」（1.3.0以下）を導入しているWooCommerceサイト運営者

対応不要な人

  • 「Mail Debug for WooCommerce」プラグインを導入していない

確認コマンド

# WordPress管理画面
# プラグイン > インストール済みプラグイン で
# "Mail Debug for WooCommerce" の有無とバージョンを確認

概要

本脆弱性は、WordPress用プラグイン「Mail Debug for WooCommerce」のメールログ機能に存在する認証不備です。このプラグインは、メールログを表示するアクションに対して権限（capability）チェック・認証チェック・nonceチェックのいずれも行っていません。そのため、未認証の第三者がこの機能にアクセスし、サイトが送信した全てのメールの本文を読み取ることができます。これには、パスワードリセットメールも含まれるため、そこに記載されたリセットキーを使って管理者アカウントを乗っ取られる危険性があります。WooCommerceを利用するECサイトでは特に注意が必要です。

CVSSベクトル

項目値
CVSSスコア7.5
SeverityHIGH
CVSSバージョン3.1
CWECWE-200（情報の露出）

影響を受けるソフトウェア

製品ベンダー影響バージョン
Mail Debug for WooCommerce（WordPressプラグイン）-<= 1.3.0

修正バージョンと回避策

本記事作成時点でWPScanのアドバイザリが公開されています。1.3.0以下を利用している場合は、プラグインの提供元が修正版をリリースしているか確認し、修正版へのアップデートを推奨します。修正版が未提供の場合は、プラグインの即時無効化・削除を検討してください。無効化が難しい場合は、関連するメールログ表示機能へのアクセスを制限する、またはパスワードリセット機能を一時的に監視・制限することが回避策となります。

関連リンク

データソース: NVD (NIST) AI解説はClaude APIにより自動生成されています。正確性については原文をご確認ください。

参考リンク

NVD:https://nvd.nist.gov/vuln/detail/CVE-2026-115256
WPScan:https://wpscan.com/vulnerability/79598470-4f3c-4e08-8657-c111068141d3/
Xでシェアはてブ
データソース: NVD (NIST), OSV (Google), GitHub Advisory Database, JVN iPedia (IPA/JPCERT/CC), CISA Known Exploited Vulnerabilities Catalog
AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。