WordPress プラグイン BookIt 2.6.0.6 までに SQL インジェクション、認証なしでデータベースの情報が漏れるおそれ（CVE-2026-62048、CVSS 9.3）: 2.6.0.7 で修正

NVD は 2026-11-01 に、WordPress の予約・カレンダー用プラグイン「BookIt」の CVE-2026-62048 を登録しました。2.6.0.6 までの版に SQL インジェクション（CWE-89）があり、CVSS v3.1 は 9.3（CRITICAL）です。攻撃条件は、ネットワーク越し・複雑さは低い・権限不要・利用者の操作不要とされています。2.6.0.7 で修正されています。

何が起きるか

• 影響を受けるのは、StellarWP（Liquid Web）が提供する WordPress プラグイン BookIt（スラッグ bookit）の、2.6.0.6 以前のすべての版です。
• 内容は「SQL コマンドに使う特殊文字の不適切な無害化」で、入力値が SQL 文にそのまま組み込まれる種類の問題です。攻撃が成立すると、サイトのデータベースに入っている情報（予約者の連絡先、利用者情報、ログイン情報など）を読み出される可能性があります。
• CVSS のベクターでは、機密性への影響が「高」、可用性への影響が「低」、完全性への影響は「なし」です。スコープが「変更あり」とされているため、プラグイン以外のデータにも届く想定の評価です。
• どの入口（ページ・リクエスト）から攻撃できるかは、NVD の記述にありません（未確認）。
• 実際の悪用は確認していません。CISA の SSVC 評価（2026-11-01 付）は、悪用なし（exploitation: none）・自動化可能（automatable: yes）・技術的影響は部分的（partial）です。具体的な攻撃手順は載せません。

修正の状況

• NVD の影響範囲の記述は、2.6.0.6 以前が影響あり、2.6.0.7 で影響なしです。
• WordPress.org のプラグイン情報では、2026-11-02 時点の最新版が 2.6.0.7 で、最終更新は 2026-10-29 です。
• 公式の修正の差分や変更履歴で、この CVE の修正内容を直接確かめることはしていません（未確認）。回避策は確認できていません。

数値と出典（2026-11-02 時点）

項目	内容
CVE	CVE-2026-62048
NVD 公開日	2026-11-01
影響版	BookIt 2.6.0.6 まで
修正版	2.6.0.7
CWE	CWE-89（SQL インジェクション）
CVSS v3.1	9.3 CRITICAL（AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:N/A:L）。CNA の Patchstack による値（NVD 上の種別は Secondary）
NVD の状態	Received（NVD 自身の評価は未実施）
EPSS	公開直後のため未算出（2026-11-02 に FIRST の API を確認、該当データなし）
KEV	掲載なし（CISA の JSON で CVE-2026-62048 の不在を確認）

severity を critical とした理由

CVSS v3.1 は 9.3 で、認証なし・操作なしでネットワーク越しに届き、データベースの情報の漏えいにつながる評価です。CISA の SSVC でも、自動化可能とされています。一方で、実際の悪用は確認されておらず、EPSS は公開直後で未算出、KEV にも載っていません。入口の詳細が分からないことと、修正版が出ていることを踏まえると、high との境界にあります。予約システムは氏名・連絡先など個人情報を扱うことが多く、認証不要の SQL インジェクションである点を重視して critical としました。

対応として考えられること

1. WordPress の管理画面で BookIt（Bookit — Booking & Appointment Calendar）を使っているか、版がいくつかを確認します。
2. 2.6.0.6 以前なら、2.6.0.7 以降へ更新します。
3. 更新できない場合は、プラグインを一時的に無効化することが考えられます（推定。予約機能は止まります）。
4. 更新前に公開していた期間がある場合は、アクセスログに不審な長いパラメータや SQL 文の断片を含むリクエストがないかを調べます（推定）。
5. 疑わしい形跡があれば、予約者データの流出を前提に、データベースの接続パスワードと WordPress の管理者パスワードの変更を検討します（推定）。

未確認の点

• 実際の悪用は確認していません。
• 攻撃の入口（どのリクエストか）と、実際に読み出せる情報の範囲は確認できていません。
• 2.6.0.7 の修正内容と、修正の完全性は確認していません。
• NVD 自身の評価は未実施（Received）です。CVSS は CNA（Patchstack）の値です。