結論
この脆弱性は、Funnel Builder for WooCommerce Checkoutのバージョン3.15.0.3以前に存在し、認証されていない攻撃者が内部メソッドを呼び出すことを可能にします。影響を受けるユーザーは、プラグインを使用しているすべてのチェックアウトページ訪問者です。早急に対策を講じる必要があります。
この記事の要点
- Funnel Builder for WooCommerce Checkoutのバージョン3.15.0.3以前に認証欠落の脆弱性が存在
- 認証されていない攻撃者が内部メソッドを呼び出せる
- 悪意のあるJavaScriptがチェックアウトページ訪問者のブラウザで実行される可能性
- CVSSスコアは8.7で高リスク
- 現時点での悪用は確認されていない
脆弱性の概要
Funnel Builder for WooCommerce Checkoutのバージョン3.15.0.3以前には、公開されたチェックアウトエンドポイントにおいて認証が欠落している脆弱性があります。この脆弱性により、認証されていない攻撃者が内部メソッドを呼び出し、プラグインのExternal Scripts設定に任意のデータを書き込むことができます。これにより、攻撃者は悪意のあるJavaScriptを注入し、すべてのチェックアウトページ訪問者のブラウザで実行される可能性があります。
| 項目 | 内容 |
|---|---|
| CVE番号 | CVE-2026-47100 |
| 公開日 | 2026-05-19T15:16:32.117000Z |
| 対象システム | Funnel Builder for WooCommerce Checkout 3.15.0.3以前 |
| 脆弱性の種類 | 認証欠落 |
| CVSSスコア | 8.7 |
| 攻撃条件 | 認証不要 / ネットワーク経由 |
◆ CVEについてはこちらから
まず何をすべきか
- 使用しているFunnel Builder for WooCommerce Checkoutのバージョンを確認する
- 3.15.0.3以前のバージョンを使用している場合は、直ちにアップデートを行う
- プラグインの設定を見直し、外部スクリプトの使用を制限する
出典元
- NVD詳細ページ：https://nvd.nist.gov/vuln/detail/CVE-2026-47100
- CVE公式ページ（cve.org）：https://www.cve.org/CVERecord?id=CVE-2026-47100
- disclosure@vulncheck.com：https://plugins.trac.wordpress.org/changeset/3530797/funnel-builder/tags/3.15.0.3/modules/checkouts/includes/class-wfacp-ajax-controller.php
- disclosure@vulncheck.com：https://sansec.io/research/funnelkit-woocommerce-vulnerability-exploited
- disclosure@vulncheck.com：https://www.vulncheck.com/advisories/funnel-builder-for-woocommerce-checkout-missing-authorization-via-ajax
対象システムと影響範囲
Funnel Builder for WooCommerce Checkoutのバージョン3.15.0.3以前を使用しているすべてのユーザーが影響を受けます。
被害内容
悪用された場合、攻撃者は任意のJavaScriptを注入し、チェックアウトページ訪問者のブラウザで実行することができ、情報漏洩やセッションハイジャックなどの被害が発生する可能性があります。
既知の悪用状況
現時点では実際の攻撃への悪用は確認されていません。
対応方法
ベンダーからの推奨は、Funnel Builder for WooCommerce Checkoutを最新バージョンにアップデートすることです。
FAQ
Q1. どの製品が影響を受けますか？
Funnel Builder for WooCommerce Checkoutのバージョン3.15.0.3以前が影響を受けます。
Q2. まず何をすればよいですか？
使用しているプラグインのバージョンを確認し、必要に応じてアップデートを行ってください。
Q3. 実際の悪用は確認されていますか？
現時点では実際の攻撃への悪用は確認されていません。
コメント