WORDPRESS SECURITY

Event Ticketsに未認証でStripe認証情報を書き換え可能な脆弱性（CVE-2026-3174）

High

WordPressプラグイン「Event Tickets and Registration」の脆弱性情報（CVE-2026-3174）。影響バージョンは5.27.4以下。修正版 5.27.4.1 への更新で対処できます。自社サイトが対象か分からない場合の確認方法と、更新代行の相談先も案内します。

更新日：2026年9月8日

対象製品: Event Tickets and Registration（プラグイン）
CVE: CVE-2026-3174
CVSS / 深刻度: 7.5 / High
影響バージョン: 5.27.4以下
修正版: 5.27.4.1
脆弱性種別: Broken Access Control / 未認証Stripe認証情報書き換え

脆弱性の概要

Event Tickets and Registration 5.27.4以下では、Stripe OAuth戻りエンドポイントの権限チェック不備により、未認証の攻撃者がサイトのStripeマーチャント認証情報を書き換え、以後のチケット決済を攻撃者のStripeアカウントへ誘導できる可能性があります。

技術的な内容

Stripe OAuth return endpointで必要なcapability checkが行われず、未認証リクエストからStripeのaccess token、publishable key、account IDを更新できます。Wordfenceは、これにより以後の支払い処理を攻撃者のStripeアカウントへ転送可能としています。WordPress.orgの5.27.4.1変更履歴ではStripeのtoken verification強化が記載されています。現時点で実攻撃の確認はありません。

悪用状況

実攻撃は未確認

推奨対応

Event Ticketsを5.27.4.1以上、可能なら最新版へ直ちに更新してください。Stripe連携を利用している場合は保存済みのStripe account ID・公開鍵・アクセストークンが正規値か確認し、不審な変更があればStripe側の資格情報を再発行して再接続してください。更新前後の決済先、Webhook/OAuth関連アクセスログ、不審な設定変更も確認してください。

情報源

情報確認日時：2026年9月8日 18:19

掲載情報は確認時点で公開されているWordPress公式、CVE、セキュリティベンダー等の情報をもとに整理しています。すべての脆弱性や攻撃を網羅・検知することを保証するものではありません。