プラットフォーム
wordpress
コンポーネント
wpbookit
修正版
1.0.8
WPBookit WordPressプラグインのバージョン1.0.7以前には、顧客削除時にCSRFチェックが不十分な脆弱性が存在します。この脆弱性を悪用されると、認証されていない攻撃者がCSRF攻撃を通じて任意の顧客を削除できてしまう可能性があります。影響を受けるバージョンは1.0.7以前ですが、最新版へのアップデートでこの問題は修正されています。
このCSRF脆弱性は、攻撃者がWPBookitプラグインを使用しているWordPressサイト上で顧客データを不正に削除することを可能にします。攻撃者は、悪意のあるウェブサイトやメールに埋め込まれたリンクを通じて、ユーザーがWPBookitの顧客削除機能にアクセスした際に、バックグラウンドで顧客を削除するリクエストを送信できます。これにより、顧客情報が失われたり、ビジネスオペレーションに混乱が生じる可能性があります。特に、顧客データが重要な役割を果たす予約システムやイベント管理システムにおいて、深刻な影響を及ぼす可能性があります。
この脆弱性は、2026年1月2日に公開されました。現時点では、この脆弱性を悪用した公開されているPoC（Proof of Concept）は確認されていませんが、CSRF攻撃は比較的容易に実行可能なため、悪用される可能性は否定できません。CISAのKEVリストにはまだ登録されていません。NVD（National Vulnerability Database）も同様に、まだ登録されていません。
Websites utilizing the WPBookit WordPress plugin, particularly those with sensitive customer data, are at risk. Shared hosting environments where plugin updates are managed centrally are also at increased risk, as they may be slower to apply security patches. Sites with weak access controls or a lack of CSRF protection on other critical functionalities are also more vulnerable.
• wordpress / composer / npm:
grep -r 'wp_bookit_delete_customer' /var/www/html/wp-content/plugins/• wordpress / composer / npm:
wp plugin list --status=all | grep wp-bookit• wordpress / composer / npm:
wp plugin update wp-bookitdisclosure
エクスプロイト状況
EPSS
0.01% (1% パーセンタイル)
CVSS ベクトル
WPBookitプラグインをバージョン1.0.8以降にアップデートすることが、この脆弱性に対する最も効果的な対策です。アップデートがすぐに利用できない場合、WordPressのWAF（Web Application Firewall）プラグインを使用して、CSRF攻撃をブロックするルールを実装することを検討してください。また、顧客削除操作には、ユーザー認証と追加の確認ステップを導入することで、CSRF攻撃のリスクを軽減できます。プラグインのアップデート後、顧客データが正常に保護されていることを確認してください。
既知の修正パッチはありません。脆弱性の詳細を詳細に検討し、組織のリスク許容度に基づいて軽減策を実施してください。影響を受けるソフトウェアをアンインストールし、代替手段を見つけるのが最善かもしれません。
脆弱性分析と重要アラートをメールでお届けします。
CVE-2025-12685は、WPBookit WordPressプラグインのバージョン1.0.7以前におけるCSRF脆弱性です。攻撃者はこの脆弱性を悪用して、認証なしで顧客を削除できる可能性があります。
WPBookit WordPressプラグインのバージョン1.0.7以前を使用している場合は、影響を受けます。最新版にアップデートすることで、この脆弱性を修正できます。
WPBookit WordPressプラグインをバージョン1.0.8以降にアップデートしてください。アップデートがすぐに利用できない場合は、WAFプラグインを使用してCSRF攻撃をブロックするルールを実装することを検討してください。
現時点では、この脆弱性を悪用した公開されているPoCは確認されていませんが、悪用される可能性は否定できません。
WPBookitの公式アドバイザリは、プラグインのウェブサイトまたはWordPressのプラグインディレクトリで確認できます。
依存関係ファイルをアップロードすれば、このCVEや他のCVEがあなたに影響するか即座にわかります。