TrueBookerに未認証で既存ユーザーのメール変更・アカウント乗っ取り可能なCritical脆弱性（CVE-2026-14349）

WordPressプラグイン「TrueBooker – Appointment Booking and Scheduler System」の脆弱性情報（CVE-2026-14349）。影響バージョンは1.2.3以下。修正版 1.2.4（現行最新版以上を推奨） への更新で対処できます。自社サイトが対象か分からない場合の確認方法と、更新代行の相談先も案内します。

対象製品

TrueBooker – Appointment Booking and Scheduler System（プラグイン）

CVE

CVE-2026-14349

CVSS / 深刻度

9.8 / Critical

影響バージョン

1.2.3以下

修正版

1.2.4（現行最新版以上を推奨）

脆弱性種別

未認証の認可回避 / 任意ユーザーメール変更 / Account Takeover / 権限昇格

脆弱性の概要

TrueBooker 1.2.3以下には、未認証の攻撃者がAdministratorを含む任意ユーザーのメールアドレスを変更し、パスワード再設定を経由してアカウントを乗っ取れるCritical脆弱性があります。Wordfenceは直近24時間で184件の攻撃をブロックしたと報告しています。

技術的な内容

admin_addcustomer AJAXアクションで操作権限を適切に検証していないことが原因です。CVE-2026-14349、CVSS 9.8 Critical。未認証の攻撃者が任意ユーザーのメールアドレスを変更し、その後のパスワードリセットを利用して管理者アカウントを取得できます。WordPress.orgの1.2.4変更履歴では複数のsecurity vulnerabilities、authorization checks、password reset validationの改善が明記されています。

悪用状況

実攻撃を確認

推奨対応

TrueBookerを1.2.4以上、可能であれば現行最新版へ直ちに更新してください。最近のユーザーメール変更、パスワードリセット、Administratorログイン・追加、Web/PHPログを確認し、侵害の兆候があれば管理者資格情報とWordPress認証キー・saltをローテーションしてください。

情報源

• WordPress.org（開発元公式・1.2.4セキュリティ修正）
• CVE.org（CVE情報）
• Wordfence Threat Intelligence（CNA・技術解析・攻撃観測）
• Patchstack脆弱性データ（Vulners mirror）

情報確認日時：2026年9月16日 12:53

掲載情報は確認時点で公開されているWordPress公式、CVE、セキュリティベンダー等の情報をもとに整理しています。すべての脆弱性や攻撃を網羅・検知することを保証するものではありません。