WORDPRESS SECURITY

WCFM Marketplaceに未認証SQL Injection脆弱性（CVE-2026-81286）

Critical

WordPressプラグイン「WCFM Marketplace – Multivendor Marketplace for WooCommerce」の脆弱性情報（CVE-2026-81286）。影響バージョンは3.8.1以下。修正版 3.8.2 への更新で対処できます。自社サイトが対象か分からない場合の確認方法と、更新代行の相談先も案内します。

更新日：2026年9月3日

対象製品: WCFM Marketplace – Multivendor Marketplace for WooCommerce（プラグイン）
CVE: CVE-2026-81286
CVSS / 深刻度: 9.3 / Critical
影響バージョン: 3.8.1以下
修正版: 3.8.2
脆弱性種別: 未認証SQL Injection

脆弱性の概要

WCFM Marketplace 3.8.1以下には、認証されていない攻撃者がdistance-based shippingの処理を悪用してSQL Injectionを実行できるCritical脆弱性があります。CVSS 9.3で、WordPress.orgでは10,000以上の有効インストールがあります。

技術的な内容

チェックアウト時の位置情報座標が十分な数値検証を受けず、店舗までの距離を計算するデータベースクエリへ使用されることが原因です。公式3.8.2では、データベースクエリへ渡す前に全ての位置情報座標を数値へ強制変換する修正が入っています。現時点で信頼できる実悪用の確認はありません。

悪用状況

実攻撃は未確認

推奨対応

WCFM Marketplaceを3.8.2以上、可能であれば現在の最新版へ更新してください。影響バージョンを公開していた場合は、チェックアウトやdistance-based shipping関連のアクセスログにSQL Injectionパターンがないか確認し、データベースの不審な参照・変更や情報流出の兆候も確認してください。

情報源

情報確認日時：2026年9月3日 12:51

掲載情報は確認時点で公開されているWordPress公式、CVE、セキュリティベンダー等の情報をもとに整理しています。すべての脆弱性や攻撃を網羅・検知することを保証するものではありません。