WordPressプラグイン「OneClick Chat to Order」に注文情報閲覧の脆弱性

この脆弱性により、以下のような被害が想定されます。

• 他の顧客の注文情報を閲覧されてしまう
  • 顧客氏名
  • メールアドレス
  • 電話番号
  • 請求先・配送先住所
  • 注文した商品の内容
  • 決済方法 注文金額
• 被害発生の条件
  • 攻撃者はログインする必要がない（誰でも実行可能）
  • 注文完了ページのURLで、特定の数値を変更するだけで閲覧可能

この脆弱性は、以下の問題に起因します。

1. 注文へのアクセス権限の検証がされていない
   1. 注文完了ページ（Thank Youページ）では、URLに含まれる注文IDから注文情報を取得して表示します。
   2. 修正前のコードでは、「その注文IDにアクセスしようとしている人が、本当にその注文をした本人かどうか」の確認処理が実装されていませんでした。
   3. そのため、URLを変更するだけで、他人の注文情報が表示される状態でした。
   4. 修正後はアクセス権限の検証が追加されました。
2. 情報の表示範囲
   • プラグインのコードでは、注文情報からWhatsAppメッセージを生成するために、顧客の個人情報と注文詳細を取得・整形して画面に表示していました。
   • この処理には権限チェックが含まれていなかったため、取得された情報がそのまま閲覧可能でした。

CWE-200 情報漏えい 

該当バージョンのプラグインをご利用の場合、以下の対応を強く推奨します。

1. プラグインの更新
   • 速やかに、プラグインを対策バージョン（1.0.9以降）に更新してください。
2. 被害確認
   • Webサーバーのアクセスログ確認
     • 注文完了ページへのアクセスログを確認します。
     • 確認対象：/checkout/order-received/ を含むURLへのアクセス
     • 注目点：
       • 同一IPアドレスから、連続して異なる注文IDへのアクセスがある
       • 正常な注文プロセスを経ていないアクセス（カート・チェックアウトページを経由していない直接アクセス）
     • 不審なアクセスパターンが見つかった場合、該当する注文の顧客に情報漏洩の可能性を通知することを検討してください。
   • セキュリティプラグインのログ確認
     • セキュリティプラグイン（Wordfenceなど）をご利用の場合、同様のアクセスパターンを確認してください。
3. 顧客への対応
   • 審なアクセスが確認され、情報漏洩の可能性が高い場合は、該当期間に注文された顧客への通知を検討してください。
   • 通知内容：個人情報が第三者に閲覧された可能性があること、漏洩した可能性のある情報の種類

⇒ログ分析や顧客対応の判断にお困りの場合は、WordPressセキュリティの専門家へのご相談をお勧めします。

OneClick Chat to Order 1.0.8 までのすべてのバージョン

CVE-2025-13526
（公開日 2025年11月22日 更新日 2025年11月22日）

基本値: 7.5 (重大)  　[Wordfence]

CVE-2025-13526 悪用確率 0.03% （上位93%） 2025年11月24日時点 

（今後30日以内に悪用される確率 )