WooCommerceの商品一覧に、カテゴリーや属性、価格などで絞り込む検索フィルターを設置できるプラグイン「Product Filter for WooCommerce by WBW」において、セキュリティ上の問題が確認されました。影響を受けるのは、バージョン 3.4.6 までのすべてのバージョンです。
本脆弱性を悪用された場合、ログインしていない第三者に、サイトのデータベースに保存されている情報を読み取られる可能性があります。
対策として、バージョン 3.4.7 以降への更新を推奨します。
脆弱性詳細
本脆弱性は、訪問者が商品を絞り込んだときに、絞り込み結果を表示し直す処理に存在します。
この処理はサイトの訪問者向けの機能のため、ログインしていない第三者でも利用できます。
想定される被害
- データベース内の情報の読み取り
- データベースに保存されている情報を、外部から読み取られる可能性があります。
- WordPressのユーザー情報（ログイン名、メールアドレス、暗号化されたパスワード）や、WooCommerceの注文・顧客情報なども対象になり得ます。
- データの改ざん・削除について
- サイトのデータを書き換えたり削除したりする挙動は確認されていません。
被害発生の条件
- プラグインが有効になっている（フィルターの設定内容や、管理者の操作には左右されません）
技術的な詳細
ブラウザから届いた設定値をそのまま使っていた
絞り込み結果の読み込み処理では、本来は管理画面で保存されているはずのフィルター設定を、ブラウザから送られてきた値のまま使用していました。そのため、第三者が設定値を自由に書き換えて送信できる状態でした。
SQL文の組み立て時に無害化していなかった
絞り込み件数の集計では、一時的なテーブル（作業用の表）を作成します。このテーブルの名前には、次の値が組み込まれていました。
- 商品の属性（色やサイズなど）を表す名前
- 閲覧中ページのURLに含まれる項目名
どちらも、使われている文字の種類を確認しないまま使用されていました。さらに、テーブルを作成・削除するSQL文（データベースへの命令文）では、特殊な文字を無害化する処理（エスケープ）も行われていませんでした。
その結果、送信された文字列がSQL文の一部として解釈され、データベースへの命令を書き換えられる状態になっていました。
悪用の大まかな流れ
- 絞り込み結果を表示し直す処理へ、細工した設定値とURLを含む通信を送る
- その文字列がデータベースへの命令に組み込まれ、本来とは異なる処理が実行される
（模倣防止のため詳細は伏せています）
対策版での修正
バージョン 3.4.7 では、属性の名前として受け付ける文字が限定されました。あわせて、データベースへの命令を組み立てる処理も見直されています。
脆弱性の種類
推奨対応事項
該当バージョンのプラグインをご利用の場合、以下の対応を推奨します。
- プラグインの更新
- 速やかに、プラグインを対策バージョン（3.4.7 以降）へ更新してください。
- 被害確認
- エラーログ：PHPのエラーログ（サーバーの管理画面などで確認できます）で、「
WordPress database error」のうち「wpf_temp」を含むメッセージを検索してください。攻撃の試行に失敗すると、命令の誤りとして記録される場合があります。 - アクセスログ：サーバーのアクセスログで、「
/wp-admin/admin-ajax.php」へのPOST通信が、同じ送信元から短時間に大量に送られていないか確認してください。この通信先は通常のフィルター操作でも使われるため、特定の送信元からの集中した通信が手がかりになります。 - 不審な記録が見つかった場合は、管理者を含むユーザーのパスワードを変更してください。
- エラーログ：PHPのエラーログ（サーバーの管理画面などで確認できます）で、「
- セキュリティ対策の強化（任意）
- WAF（Web Application Firewall：不正な通信を検知・遮断する仕組み）を導入していれば、SQLインジェクションを狙う通信の遮断に有効です。ただし、WAFですべての攻撃を確実に防げるわけではないため、根本的な対策となるプラグインの更新を優先してください。
⇒ 不審な通信やエラー記録が確認され、顧客情報が読み取られた可能性がある場合は、WordPressの専門家への相談を推奨します。
⇒ 個人情報の漏えいが疑われる場合は、個人情報保護委員会への報告や本人への通知が必要となることがあります。
影響を受けるバージョン
Product Filter for WooCommerce by WBW 3.4.6 までのバージョン
脆弱性情報 (CVE-ID)
CVE-2026-112866 
（公開日 2026年10月24日 更新日 2026年10月24日）
脆弱性の深刻度 (CVSS v3)
基本値: 7.5 (重要) [Wordfence]
脆弱性脅威度(EPSS)
CVE-2026-112866 悪用確率 1.16% （上位33%） 2026年11月3日時点
ソフトウェア脆弱性情報の著作権に関する注意事項
This record contains material that is subject to copyright.
Copyright 2012-2026 Defiant Inc.
License: Defiant hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute this software vulnerability information. Any copy of the software vulnerability information you make for such purposes is authorized provided that you include a hyperlink to this vulnerability record and reproduce Defiant’s copyright designation and this license in any such copy. Read more.
Copyright 1999-2026 The MITRE Corporation
License: CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE’s copyright designation and this license in any such copy. Read more.
「WordPressセキュリティ保守」をご利用のお客様へ
WordPress
Product Filter for WooCommerce by WBW プラグインをご利用中のお客様には、対策バージョンへの更新状況および推奨対応事項について、順次メールにてご案内しております。
本記事の作成について
本記事は、対象プラグインの公開ソースコードおよびバージョン間の差分を解析し、その結果に基づいて作成しています。
解析および文章作成の過程では生成AIを利用し、内容は当社の担当者が確認したうえで公開しています。
