つみかさね

CVE-2026-119505

High(7.1)

Welcart e-CommerceのXSS脆弱性 CVE-2026-119505：影響範囲と対応方法

公開日: 2026-11-10データソース: NVD, GitHub Advisory

影響を受けるソフトウェア

製品ベンダー影響バージョン
Welcart e-CommerceWelcartn/a - 2.12.6

対応ガイド

high|推奨セキュリティ修正影響: 限定的

推奨アクション

  1. 1Welcart e-Commerceのバージョンを確認する
  2. 2修正バージョンが公開された場合はアップデートする
  3. 3アップデートが困難な場合は注文・商品フォームの入力内容確認を徹底する

影響対象

Welcart e-Commerce利用ECサイト運営者

対応不要な人

  • ✓Welcart e-Commerceプラグインを使用していない
  • ✓修正バージョンへアップデート済み

補足

  • -ECサイトでは顧客情報を扱うため早めの対応を推奨します
CVEWordPressWelcart e-Commerce蓄積型XSS

30秒で判断

対応すべき人

  • WordPress向けECプラグイン「Welcart e-Commerce」(usc-e-shop)を使用している
  • バージョン2.12.6以前を使用している

対応不要な人

  • Welcart e-Commerceプラグインを使用していない
  • 修正版が公開された際にアップデート済み

確認コマンド

wp plugin list | grep usc-e-shop

概要

本脆弱性(CVE-2026-119505)は、日本国内でも利用されているWordPress向けECプラグイン「Welcart e-Commerce」における、Webページ生成時の入力値の不適切なサニタイズに起因する蓄積型クロスサイトスクリプティング(Stored XSS)の問題です。

ECサイトでは注文情報や商品情報など、ユーザーが入力したデータを管理画面で表示する機会が多くあります。本脆弱性が存在すると、悪意のあるスクリプトが保存され、管理者などがそのデータを閲覧した際にブラウザ上で実行されてしまう可能性があります。本脆弱性は2.12.6までの全バージョンに影響するとされています。

CVSSベクトル

項目内容
CVSSスコア7.1 (High)
CVSSバージョン3.1
CWECWE-79(クロスサイトスクリプティング)
攻撃手法蓄積型(Stored) XSS

影響を受けるソフトウェア

製品影響バージョン
Welcart e-Commerce (WordPressプラグイン)n/a 〜 2.12.6

修正バージョンと回避策

プラグイン開発者から提供される修正バージョンがリリースされた場合は速やかにアップデートしてください。ECサイトは顧客情報を扱うため、アップデートが提供されていない、または適用が困難な場合は、注文・商品フォームからの入力内容を管理画面で開く際の取り扱いに注意し、不審なスクリプトが含まれていないか確認することを検討してください。

関連リンク

データソース: NVD (NIST) AI解説はClaude APIにより自動生成されています。正確性については原文をご確認ください。

関連する脆弱性

CVE-2026-119504Frontend Admin by DynamiAppsのXSS脆弱性CVSS 7.1CVE-2026-121764FV Flowplayer Video PlayerのXSS脆弱性CVSS 7.1

参考リンク

NVD:https://nvd.nist.gov/vuln/detail/CVE-2026-119505
Patchstack:https://patchstack.com/database/wordpress/plugin/usc-e-shop/vulnerability/wordpress-welcart-e-commerce-plugin-2-12-6-cross-site-scripting-xss-vulnerability?_s_id=cve
Xでシェアはてブ
データソース: NVD (NIST), OSV (Google), GitHub Advisory Database, JVN iPedia (IPA/JPCERT/CC), CISA Known Exploited Vulnerabilities Catalog
AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。