WooCommerce の注文などをきっかけに、お客様へのメール送信を自動化するプラグイン「ShopMagic – email automation for WordPress」において、セキュリティ上の問題が確認されました。影響を受けるのは、バージョン 4.9.0 までのすべてのバージョンです。
本脆弱性を悪用された場合、ログインしていない第三者によって、サーバー上にある PHP ファイルを読み込まれ、実行される可能性があります。
対策として、バージョン 4.9.1 以降への更新を推奨します。
脆弱性詳細
本脆弱性は、自動化（オートメーション）で送信するメールの件名・見出し・本文などに含まれる「プレースホルダー」を、実際の値に置き換える処理に存在します。
プレースホルダーとは、「{{ customer.first_name }}」のように二重の波かっこで囲んだ差し込み用の文字で、メール送信時にお客様の名前や注文内容などへ置き換えられます。
想定される被害
攻撃が成功した場合、以下のような被害が想定されます。
- 不正なプログラムの実行
- 実際に起きる被害は、サーバー上にどのような PHP ファイルがあるかによって異なります。攻撃者が用意した PHP ファイルがサーバー上に存在する場合は、任意のプログラムを実行され、サイトの改ざんや情報の窃取につながるおそれがあります。
- 情報の持ち出し
- 読み込まれたファイルが何らかの内容を出力する場合、その内容はメールの中に差し込まれます。メールの宛先が注文者のメールアドレスになっている場合は、その内容が攻撃者に届く可能性があります。
- サーバーへの負荷
- 置き換え処理が終わらない状態にされ、処理が打ち切られるまでサーバーの資源を消費し続ける可能性があります。
被害発生の条件
以下の条件がそろった場合に、被害が発生する可能性があります。
- ShopMagic 4.9.0 以下が有効になっている
- お客様が注文時などに入力した値（名前、住所、注文メモなど）を差し込むプレースホルダーを使ったオートメーションを公開している
（例：「{{ customer.first_name }}」「{{ order.billing_first_name }}」「{{ order.customer_note }}」など）
ゲスト購入（ログインせずに注文すること）を許可している場合は、アカウントを持たない第三者でも攻撃が可能です。
なお、ShopMagic に用意されているレシピ（オートメーションのひな形）「New Order email with social media profile links」は、メールの見出しに「{{ customer.first_name }}」を含んでいます。このレシピから作成したオートメーションを公開している場合は、条件に当てはまります。
技術的な詳細
本来の動作
- プレースホルダーは、オートメーションを作成する管理者がメールの文面などに書き込むものです。
- 注文商品の一覧を差し込むプレースホルダーでは、表示形式を「template」という指定で選べます。指定された名前に対応するテンプレート（表示用の PHP ファイル）を読み込んで、一覧を作成します。
問題点(1)：置き換え後の値を、もう一度プレースホルダーとして処理していた
- プレースホルダーを1つ置き換えるたびに、置き換え後の文章全体を最初から調べ直していました。
- そのため、お客様が入力した名前などに二重の波かっこで囲んだ文字列が含まれていると、それも新たなプレースホルダーとして実行されていました。
- 結果として、本来は管理者だけが書けるはずのプレースホルダーを、注文者が書き込める状態になっていました。
問題点(2)：テンプレート名を確認せずにファイルを読み込んでいた
- 「template」で指定された名前が、用意された表示形式のどれかであるかを確認していませんでした。
- さらに、テーマ内のテンプレートを探す処理で、上の階層のフォルダをたどる指定（いわゆるパストラバーサル）を防いでいなかったため、テーマのフォルダの外にある PHP ファイルまで読み込まれていました。
攻撃の大まかな流れ
- 攻撃者が、ゲスト購入などで注文を行い、請求先の名前などの入力欄に細工したプレースホルダーを書き込む
- 注文をきっかけにオートメーションが動き、メールの作成時に名前が差し込まれる
- 差し込まれた名前の中のプレースホルダーが実行され、サーバー上の PHP ファイルが読み込まれる
対策版での修正
バージョン 4.9.1 では、次の修正が行われています。
- 置き換え後の値をもう一度プレースホルダーとして処理しないよう変更
- 「template」の指定を、用意された表示形式の名前に限定
- テーマ内のテンプレートを探す処理で、テーマのフォルダの外にあるファイルを読み込まないよう確認を追加
脆弱性の種類
CWE-98 PHP における include/require 文のファイル名の不適切な制御 
（ローカルファイルインクルージョン）
推奨対応事項
該当バージョンのプラグインをご利用の場合、以下の対応を強く推奨します。
- プラグインの更新
- 速やかに、プラグインを対策バージョン（4.9.1 以降）へ更新してください。
- 影響の有無の確認
- WordPress 管理画面の「ShopMagic」メニューからオートメーションの一覧を開き、公開中のオートメーションのメール（宛先・件名・見出し・本文）に、お客様が入力した値を差し込むプレースホルダーが含まれていないか確認してください。過去に公開していた期間がなく、現在も含まれていなければ、本脆弱性の影響は受けません。
- 被害確認
- WooCommerce の注文一覧や各注文の詳細画面で、請求先・配送先の名前や住所、注文メモに、二重の波かっこ「
{{」「}}」を含む注文がないか確認してください。 - WooCommerce の「ステータス」→「ログ」で、ソース「
shopmagic」のログに「Failed to process placeholder」という記録がないか確認してください。ファイルの読み込みに失敗した攻撃の痕跡が残っている可能性があります。 - 該当する注文や記録があった場合は、その注文をきっかけに送信されたメールの内容や、サイトのファイルに身に覚えのない変更がないかを確認してください。
- WooCommerce の注文一覧や各注文の詳細画面で、請求先・配送先の名前や住所、注文メモに、二重の波かっこ「
- セキュリティ対策の強化
- すぐに更新できない場合は、該当するオートメーションを一時的に非公開（下書き）にするか、お客様が入力した値を差し込むプレースホルダーをメールから一時的に外すことで、本脆弱性の悪用を防ぐことができます。
- WAF（Web Application Firewall：不正な通信を検知・遮断する仕組み）を導入していれば、注文時の入力欄にフォルダをたどる指定を含むような不審なリクエストの遮断に有効です。ただし、WAFですべての攻撃を確実に防げるわけではないため、根本的な対策となるプラグインの更新を優先してください。
⇒ 不審な注文や記録が確認された場合は、WordPressの専門家などへの相談を推奨します。
影響を受けるバージョン
ShopMagic – email automation for WordPress 4.9.0 までのバージョン
脆弱性情報 (CVE-ID)
CVE-2026-103367
（公開日 2026年10月14日 更新日 2026年10月14日）
脆弱性の深刻度 (CVSS v3)
基本値: 8.1 (重要) [Wordfence]
※ 「被害発生の条件」に挙げた条件がそろった場合が対象です。
脆弱性脅威度(EPSS)
CVE-2026-103367 悪用確率 1.01% （上位38%） 2026年10月19日時点
ソフトウェア脆弱性情報の著作権に関する注意事項
This record contains material that is subject to copyright.
Copyright 2012-2026 Defiant Inc.
License: Defiant hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute this software vulnerability information. Any copy of the software vulnerability information you make for such purposes is authorized provided that you include a hyperlink to this vulnerability record and reproduce Defiant’s copyright designation and this license in any such copy. Read more.
Copyright 1999-2026 The MITRE Corporation
License: CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE’s copyright designation and this license in any such copy. Read more.
「WordPressセキュリティ保守」をご利用のお客様へ
WordPress
ShopMagic プラグインをご利用中のお客様には、対策バージョンへの更新状況および推奨対応事項について、順次メールにてご案内しております。
本記事の作成について
本記事は、対象プラグインの公開ソースコードおよびバージョン間の差分を解析し、その結果に基づいて作成しています。
解析および文章作成の過程では生成AIを利用し、内容は当社の担当者が確認したうえで公開しています。
