宿泊施設やレンタル事業などの予約カレンダーをサイトに設置できるプラグイン「WP Booking System（WP Booking System – Booking Calendar）」において、セキュリティ上の問題が確認されました。影響を受けるのは、バージョン 2.1.0.3 までのすべてのバージョンです。
本脆弱性を悪用された場合、ログインしていない第三者に、予約に関して送信されたメールの本文を閲覧される可能性があります。
対策として、バージョン 2.1.0.4 以降への更新を推奨します。
脆弱性詳細
本脆弱性は、プラグインの「メールログ」機能（予約者などに送信したメールを記録し、管理画面の予約詳細から確認・再送信できる機能）に存在します。
本来は管理者だけが使う機能ですが、ログインしていない第三者でも利用できる状態になっていました。
想定される被害
- 予約者の個人情報の漏えい
- 予約に関して送信されたメール（予約通知、リマインダーなど）の本文が閲覧されます。
- 初期設定の予約通知メールには、予約番号、利用の開始日と終了日、予約フォームの入力内容（氏名、メールアドレス、電話番号、メッセージなど、フォームに設けた項目）が含まれます。
- 番号を変えながら繰り返し取得することで、複数の予約の情報を閲覧される可能性があります。
- メールの再送信
- 記録済みのメールを、元の宛先へもう一度送信させられます。
- 宛先や本文を書き換えることはできませんが、予約者に同じメールが重複して届く可能性があります。
被害発生の条件
- メールログ機能が有効になっている（プラグインの初回有効化時にオンに設定されます）
- メールログが記録された予約が1件以上ある
技術的な詳細
権限の確認が行われていなかった
メール本文の表示処理と再送信処理は、管理画面の各ページを読み込む際に必ず実行される受付処理から呼び出されます。この受付処理は、WordPressの仕様上、ログインしていない利用者からの通信でも実行されます。それにもかかわらず、表示・再送信の各処理では、ログイン状態や操作する権限の確認が行われていませんでした。
番号の指定だけで本文を返していた
処理は、通信で指定された「予約の番号」と「メールログの番号」に該当する記録が存在するかだけを確認し、本文をそのまま出力していました。どちらの番号も数字のため、推測が容易な状態でした。
悪用の大まかな流れ
- メールログ表示用の指定を含めた通信を、管理画面の受付先へ送る
- 予約の番号とメールログの番号を順に変えながら送信する
- 該当する記録があれば、そのメール本文が返される
（模倣防止のため詳細は伏せています）
対策版での修正
バージョン 2.1.0.4 では、表示・再送信の前に、対象の予約が属するカレンダーを操作する権限があるかを確認するよう変更されました。
あわせて、カレンダー表示の更新処理やフォーム編集処理など、ログイン済みユーザー向けの機能でも権限の確認が強化されています。
脆弱性の種類
CWE-862 認可の欠如 
（Missing Authorization）
推奨対応事項
該当バージョンのプラグインをご利用の場合、以下の対応を推奨します。
- プラグインの更新
- 速やかに、プラグインを対策バージョン（2.1.0.4 以降）へ更新してください。
- 被害確認
- アクセスログ：サーバーのアクセスログで、「
wpbs_action=email_logs」または「wpbs_action=resend_email」を含む通信を検索してください。 - 正規の操作との見分け方：管理者が予約詳細から操作した場合は、「
/wp-admin/admin.php?page=wpbs-calendars」から始まる通信として記録されます。次のような通信は、第三者による試行の可能性があります。- 上記以外の受付先（「
admin-ajax.php」「admin-post.php」など）への通信 - 管理者が使用していない送信元からの通信
- 予約の番号（
booking_id）を変えながら、短時間に繰り返し送られている通信
- 上記以外の受付先（「
- 予約者からの問い合わせ：「同じメールが何度も届いた」という問い合わせがないか確認してください。再送信は管理画面のメールログには記録されないため、予約者側の受信状況が手がかりになります。
- アクセスログ：サーバーのアクセスログで、「
- セキュリティ対策の強化（任意）
- WAF（Web Application Firewall：不正な通信を検知・遮断する仕組み）を導入していれば、同じ送信元から短時間に繰り返される通信の遮断に有効です。ただし、WAFですべての攻撃を確実に防げるわけではないため、根本的な対策となるプラグインの更新を優先してください。
⇒ 不審な通信が確認された場合は、WordPressの専門家への相談を推奨します。
⇒ 予約者の個人情報が閲覧された可能性がある場合は、個人情報保護委員会への報告や本人への通知が必要となる場合があります。
影響を受けるバージョン
WP Booking System 2.1.0.3 までのバージョン
脆弱性情報 (CVE-ID)
CVE-2026-108123
（公開日 2026年10月17日 更新日 2026年10月18日）
脆弱性の深刻度 (CVSS v3)
基本値: 7.5 (重要) [Wordfence]
脆弱性脅威度(EPSS)
CVE-2026-108123 悪用確率 1.02% （上位36%） 2026年11月3日時点
ソフトウェア脆弱性情報の著作権に関する注意事項
This record contains material that is subject to copyright.
Copyright 2012-2026 Defiant Inc.
License: Defiant hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute this software vulnerability information. Any copy of the software vulnerability information you make for such purposes is authorized provided that you include a hyperlink to this vulnerability record and reproduce Defiant’s copyright designation and this license in any such copy. Read more.
Copyright 1999-2026 The MITRE Corporation
License: CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE’s copyright designation and this license in any such copy. Read more.
「WordPressセキュリティ保守」をご利用のお客様へ
WordPress
WP Booking System プラグインをご利用中のお客様には、対策バージョンへの更新状況および推奨対応事項について、順次メールにてご案内しております。
本記事の作成について
本記事は、対象プラグインの公開ソースコードおよびバージョン間の差分を解析し、その結果に基づいて作成しています。
解析および文章作成の過程では生成AIを利用し、内容は当社の担当者が確認したうえで公開しています。
