Welcart e-Commerce 2.12.5以下に未認証Stored XSSと会員乗っ取りの2件｜2.12.6で修正

WordPressプラグイン「Welcart e-Commerce」の脆弱性情報（CVE-2026-118070 / CVE-2026-119166）。影響バージョンはWelcart e-Commerce 2.12.5以下（2件とも。対象は本体プラグイン usc-e-shop）。修正版 Welcart e-Commerce 2.12.6以降（2026年10月23日リリース） への更新で対処できます。自社サイトが対象か分からない場合の確認方法と、更新代行の相談先も案内します。

対象製品

Welcart e-Commerce（プラグイン）

CVE

CVE-2026-118070 / CVE-2026-119166

CVSS / 深刻度

7.2 / High

影響バージョン

Welcart e-Commerce 2.12.5以下（2件とも。対象は本体プラグイン usc-e-shop）

修正版

Welcart e-Commerce 2.12.6以降（2026年10月23日リリース）

脆弱性種別

未認証Stored XSS（決済のブラウザー復帰リクエスト）／未認証の会員アカウント乗っ取り（IDOR）

脆弱性の概要

2026年10月30〜31日、Welcart e-Commerce本体で2件の重要な脆弱性が公表されました。CVE-2026-118070（Wordfence CVSS v3.1 7.2、High）は、未認証の攻撃者がROBOT PAYMENTのブラウザー復帰を装ったデータを注文情報に保存させ、管理者による受注画面の閲覧時にスクリプトを実行させ得る格納型XSSです。CVE-2026-119166（同CVSS 5.3、Medium）は、未認証の攻撃者がWelcartの会員IDを指定し、他のショップ会員のメールアドレスとパスワードを変更して会員アカウントを乗っ取れる問題です。2件とも2.12.6で修正されています。実攻撃や侵害成功は未確認です。ショップ会員の乗っ取りとWordPress管理者権限の奪取は別であり、後者の成立を断定しません。

技術的な内容

【CVE-2026-118070】決済サービスROBOT PAYMENTのブラウザー戻りリクエストのgidパラメータが十分に無害化・出力エスケープされず、注文メタデータに不正な値が保存される場合があります。管理者が対象注文を閲覧すると、管理画面のブラウザーで任意のスクリプトが実行される可能性があります。Wordfence評価 CVSS v3.1 7.2（High）。PatchstackはCVSS 7.1と評価し、独自優先度はMediumとしています。実行には管理画面で対象注文の閲覧が必要です。
【CVE-2026-119166】新規会員登録フォームの公開nonceと会員IDの検証不備を組み合わせ、認証されていない第三者がmember[ID]で既存のWelcartショップ会員を指定して会員メールアドレスやパスワードを改変できる問題です。既存の会員ログインやWordPressログインは不要と報告されています。Wordfence評価 CVSS v3.1 5.3（Medium）。被害対象はショップ会員アカウントで、WordPress管理者アカウントの乗っ取りが確認されたものではありません。
開発元は2026年10月23日に2.12.6を公開し、決済情報表示のXSS対策およびログイン中の会員以外の会員情報が更新されないよう修正したことを公表しています。両CVEは同一製品・同一修正版のため1件の記事に統合し、event_keyは重大度がHighのCVE-2026-118070を採用。cves配列にはCVE-2026-118070とCVE-2026-119166の双方を記録しており、後続の重複確認ではevent_keyだけでなく関連CVEも確認する必要があります。2026年10月31日時点で実悪用確認はありません。

悪用状況

実攻撃は未確認

推奨対応

Welcart e-Commerce本体（usc-e-shop）を2.12.6以降へ速やかに更新してください。更新前にはECサイトのファイル・データベースをバックアップし、決済サービス連携、受注表示、会員登録・ログイン・パスワード変更、注文メールの動作を検証してください。過去に不審な会員のメールアドレス・パスワード変更、見覚えのない注文メタデータ、受注管理画面での不審な動作がないか確認し、侵害の疑いがあれば証拠保全と会員への適切な連絡・認証情報の再設定を検討してください。古い2.11系列を利用している場合は、開発元の2.12移行手順と互換性要件を確認してください。修正版適用は既存の不正な会員情報変更を自動的に元に戻すものではありません。

情報源

• Welcart開発元公式（2026-10-23：2.12.6のXSS・会員情報更新のセキュリティ修正）
• WordPress.org（Welcart e-Commerce公式配布・2.12.6変更履歴）
• Wordfence Intelligence（CVE-2026-118070：決済復帰パラメータ経由の未認証Stored XSS）
• Wordfence Intelligence（CVE-2026-119166：未認証での会員アカウント乗っ取り）
• Patchstack（CVE-2026-118070：影響版・修正版・独自優先度評価）
• CVE.org（CVE-2026-118070）
• CVE.org（CVE-2026-119166）

情報確認日時：2026年10月31日 18:20

掲載情報は確認時点で公開されている開発元公式、CVE、セキュリティベンダー等の情報をもとに整理しています。すべての脆弱性や攻撃を網羅・検知することを保証するものではありません。