WooCommerce向けに購入までの導線（セールスファネル）を作成するプラグイン「WPFunnels – Funnel Builder for WooCommerce with Checkout & One Click Upsell」において、セキュリティ上の問題が確認されました。影響を受けるのは、バージョン 3.12.7 までのすべてのバージョンです。
本脆弱性を悪用された場合、プラグインのログ機能を有効にしているサイトにおいて、第三者が送信したデータをきっかけに、サーバー上で不正なプログラムが実行される可能性があります。また、ログに記録された入力内容が、外部から閲覧される可能性もあります。
対策として、バージョン 3.12.8 以降への更新を推奨します。
脆弱性詳細
WPFunnelsには、フォームの送信内容や注文内容を記録する「ログ機能」があります（初期設定では無効）。
本脆弱性は、フォームから送信された内容を確認しないままログファイルへ記録し、さらに管理画面でそのログを表示する際に、ファイルの中身をプログラムとして実行する方式になっていたことに起因します。
また、ログファイルの保存先には、外部からの直接アクセスを遮断する設定が用意されていませんでした。
想定される被害
この脆弱性が悪用された場合、以下のような被害が想定されます。
サーバー上での不正なプログラム実行
- サイトを動かしている権限でプログラムが動作する
- その結果、ファイルの改ざんや、管理者アカウントの不正な追加などにつながる可能性
ログに記録された情報の閲覧
- フォームに入力されたメールアドレス、氏名、電話番号など
- WooCommerceの注文内容（商品名、金額）
これらが、ログインを経ずに外部から閲覧される可能性があります。
被害発生の条件
前提として、WPFunnelsの設定で「ログ機能」が有効になっている必要があります。ログ機能を有効にしたことがない場合、本脆弱性の影響は受けません。
そのうえで、被害の種類ごとに条件が異なります。
- 不正なプログラム実行：第三者がフォームを送信したあと、管理者（またはWPFunnelsの操作権限を与えられたユーザー）が管理画面でそのログを表示した場合
- ログ内容の閲覧：第三者がログファイルのURLへアクセスした場合（管理者側の操作は不要）
技術的な詳細
不正なプログラム実行は、次の流れで成立します。
- ファネルのページに設置されたフォームへ、プログラムとして解釈され得る文字列を含めて送信する
- 送信内容がログファイルへ記録される
- 管理者が管理画面でそのログを表示した時点で、記録された内容が実行される
なお、フォームの送信を受け付ける処理では、リクエストが正規の画面からの操作であるかを確認する仕組み（nonce）が一部の実装で無効になっており、ログインしていない第三者でも送信できる状態でした。
また、ログファイルは保存先とファイル名が日付から決まる規則的なもので、URLを組み立てるだけで到達できる状態でした。
対策版（3.12.8）では、ログの表示処理がファイルを実行しない方式へ変更され、読み込むファイルの場所と種類も限定されました。あわせて、ログへ書き込む際にプログラムの開始を示す記号を取り除く処理と、ログの保存先へ外部から直接アクセスできないようにする設定ファイルの自動生成が追加されています。
脆弱性の種類
推奨対応事項
該当バージョンのプラグインをご利用の場合、以下の対応を強く推奨します。
- プラグインの更新
- 速やかに、プラグインを対策バージョン（3.12.8 以降）へ更新してください。
- ログ機能の設定確認
- WordPress管理画面の「WPFunnels」→「Settings」→「Logs」タブを開き、「Enable Logs」がオンになっていないか確認してください。
- オフであれば、本脆弱性の影響を受けることはありません。オンの場合は、次の被害確認を行ってください。
- 被害確認（プラグインの更新後に実施してください）
- FTPやサーバーのファイルマネージャーで
wp-content/uploads/wpfunnels/wpfunnels-logs/を開き、wpfunnels-event-log-（日付）.logをテキストエディタで確認してください。
記録されているのは、フォームの送信内容や注文情報です。これらに混じって「<?」で始まる文字列（PHPというプログラムの開始を示す記号）が含まれていれば、外部から書き込まれた可能性があります。
※ プラグインを更新する前に、管理画面のログ表示機能で開かないでください。その時点で記録内容が実行される可能性があります。 - サーバーのアクセスログを「
wpfunnels-logs」というキーワードで検索してください。
関係者以外のIPアドレスからのアクセスが記録されている場合、ログの内容が外部から閲覧された可能性があります。 - WordPress管理画面の「ユーザー」で、身に覚えのない管理者アカウントが追加されていないか確認してください。
- FTPやサーバーのファイルマネージャーで
- 追加のセキュリティ対策
- ログ機能を常時使用していない場合は、必要な期間だけ有効にする運用を推奨します。不要になったログファイルは、「Logs」タブの画面から削除できます。
- WAF（Web Application Firewall：不正な通信を検知・遮断する仕組み）を導入していれば、不正なリクエストの遮断に有効です。ただし、WAFですべての攻撃を確実に防げるわけではないため、根本的な対策となるプラグインの更新を優先してください。
⇒不審なファイルやアカウントが確認された場合は、WordPressの専門家などへの相談を推奨します。
影響を受けるバージョン
WPFunnels – Funnel Builder for WooCommerce with Checkout & One Click Upsell 3.12.7 までのバージョン
脆弱性情報 (CVE-ID)
CVE-2026-14345 
（公開日 2026年7月7日 更新日 2026年7月8日）
脆弱性の深刻度 (CVSS v3)
基本値: 9.8 (緊急) [Wordfence]
脆弱性脅威度(EPSS)
CVE-2026-14345 悪用確率 1.39% （上位28%） 2026年11月5日時点
ソフトウェア脆弱性情報の著作権に関する注意事項
This record contains material that is subject to copyright.
Copyright 2012-2026 Defiant Inc.
License: Defiant hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute this software vulnerability information. Any copy of the software vulnerability information you make for such purposes is authorized provided that you include a hyperlink to this vulnerability record and reproduce Defiant’s copyright designation and this license in any such copy. Read more.
Copyright 1999-2026 The MITRE Corporation
License: CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE’s copyright designation and this license in any such copy. Read more.
「WordPressセキュリティ保守」をご利用のお客様へ
WordPress
WPFunnels プラグインをご利用中のお客様には、
対策バージョンへの更新状況および推奨対応事項について、順次メールにてご案内しております。
