Welcart e-Commerceの脆弱性。サイトを開いた人の画面で不正な処理が動くおそれ、2.12.7へ更新を（CVE-2026-119505／CVE-2026-119503）

まず確認してください

放置すると

不正なプログラムを動かされ、サイトを乗っ取られたり改ざんされたりするおそれがあります。

自社が対象かの確認

WordPressの管理画面で「プラグイン」→「インストール済みプラグイン」を開き、「Welcart e-Commerce」があるかを探します。なければ、この情報は関係ありません。あれば、表示されたバージョンを確かめます。対象のバージョンは「Welcart e-Commerce（WordPress.orgのスラッグ usc-e-shop）2.12.6以下」です。

対象だったら

修正版へ更新します（修正版：Welcart e-Commerce 2.12.7以降（開発元が2026年11月2日に公開））。更新の前にバックアップを取り、更新後に主なページと問い合わせフォームの表示を確かめてください。

自分でできないとき

管理画面に入れない、見方が分からないときは、今の制作会社や保守会社へ「Welcart e-Commerceは入っていますか。バージョンはいくつですか」と聞けば確認できます。担当がいないときは、このページの下の窓口から状況をお送りください。

詳しい情報（制作会社・保守担当の方向け）

WordPressプラグイン「Welcart e-Commerce」の脆弱性情報（CVE-2026-119505 / CVE-2026-119503）。影響バージョンはWelcart e-Commerce（WordPress.orgのスラッグ usc-e-shop）2.12.6以下。修正版 Welcart e-Commerce 2.12.7以降（開発元が2026年11月2日に公開） への更新で対処できます。自社サイトが対象か分からない場合の確認方法と、更新代行の相談先も案内します。

対象製品

Welcart e-Commerce（プラグイン）

CVE

CVE-2026-119505 / CVE-2026-119503

CVSS / 深刻度

7.1 / High

影響バージョン

Welcart e-Commerce（WordPress.orgのスラッグ usc-e-shop）2.12.6以下

修正版

Welcart e-Commerce 2.12.7以降（開発元が2026年11月2日に公開）

脆弱性種別

Stored Cross-Site Scripting（CVE-2026-119505、CWE-79）およびBasic XSS / Content Injection（CVE-2026-119503、CWE-80）

脆弱性の概要

2026年11月9日（UTC）にWelcart e-Commerce本体の脆弱性2件が公表されました。2.12.6以下で、表示用の入力内容などを安全に処理できず、閲覧者のブラウザーで意図しない処理が動くおそれがあります。CVE-2026-119505はCVSS v3.1 7.1（High）、CVE-2026-119503は6.5（Medium）です。開発元は11月2日に2.12.7を公開し、複数のセキュリティ問題を修正しています。実際の悪用やサイト侵害の確認情報はありません。

技術的な内容

CVE-2026-119505は認証不要で攻撃の起点を作れるStored XSS（CWE-79）、CVSS v3.1 7.1、ベクトルAV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:Lで、成立には被害者側の操作が必要。CVE-2026-119503はHTMLタグの無害化不備（Basic XSS、CWE-80、Content Injection）、CVSS v3.1 6.5、ベクトルAV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:L。いずれもCNAはPatchstack、影響はWelcart e-Commerce 2.12.6以下、修正は2.12.7。開発元公式の2.12.7更新履歴には決済エラー画面・HTMLメール・受注リスト・会員一覧など複数のXSS対策が掲載されているが、個別CVEと個別修正箇所の一対一の対応は確認できない。サーバー上の任意コード実行や攻撃成功は確認していない。既存のCVE-2026-118070およびCVE-2026-119166（2.12.5以下を2.12.6で修正）とは別事案であり、2.12.6も今回の影響対象。CVE-2026-119505を代表event_keyとし、CVE-2026-119503もcves配列に含め、以後両IDで重複判定する。

悪用状況

実攻撃は未確認

推奨対応

Welcart e-Commerce本体を2.12.7以降へ更新してください。作業前にファイルとデータベースをバックアップし、更新後は購入・決済・エラー画面・会員登録・お問い合わせ・注文関連メールをテストしてください。決済連携とWordPress・PHPの互換性も確認します。不審な管理画面操作や画面改ざんの兆候がある場合はログを確認してください。確認されていない攻撃被害を前提に断定しないでください。

情報源

• Welcart開発元公式（Welcart 2.12.7セキュリティ修正、2026年11月2日）
• CVE.org / Patchstack CNA（CVE-2026-119505、CVSS v3.1 7.1、影響版・修正版）
• CVE.org / Patchstack CNA（CVE-2026-119503、CVSS v3.1 6.5、影響版・修正版）
• CVE.report（公開CVEレコード確認用、一次情報とは独立しない）

情報確認日時：2026年11月10日 01:09

掲載情報は確認時点で公開されている開発元公式、CVE、セキュリティベンダー等の情報をもとに整理しています。すべての脆弱性や攻撃を網羅・検知することを保証するものではありません。