--- title: "WordPress プラグイン BookIt 2.6.0.6 までに SQL インジェクション、認証なしでデータベースの情報が漏れるおそれ（CVE-2026-62048、CVSS 9.3）: 2.6.0.7 で修正" url: https://n-t-p.io/worldsecurity/articles/wordpress-bookit-plugin-sql-injection-unauthenticated-cve-2026-62048-2-6-0-6-and-earlier-fixed-2-6-0-7 lang: ja kind: 速報 category: 脆弱性・CVE author: World Security 編集部 published: 2026年11月1日 updated: 2026年11月1日 severity: 緊急 cve: CVE-2026-62048 --- # WordPress プラグイン BookIt 2.6.0.6 までに SQL インジェクション、認証なしでデータベースの情報が漏れるおそれ（CVE-2026-62048、CVSS 9.3）: 2.6.0.7 で修正 > **TL;DR:** WordPress の予約プラグイン BookIt の 2.6.0.6 までに、認証なしで悪用できる SQL インジェクションがある（CVE-2026-62048）。CVSS v3.1 は 9.3（CNA の Patchstack の値）、EPSS は公開直後のため未算出、KEV なし。2.6.0.7 で修正済み。 **要点** - BookIt（WordPress の予約・カレンダープラグイン）2.6.0.6 以前に SQL インジェクション（CWE-89）。ネットワーク越し・権限不要・操作不要とされている - 悪用されると、予約者の連絡先などデータベースの情報を読み出されるおそれ（機密性への影響が高）。攻撃の入口の詳細は未確認 - CVSS v3.1 は 9.3（CNA の Patchstack の値）。EPSS は公開直後のため未算出、KEV なし、NVD は Received。CISA の SSVC は悪用なし・自動化可能 - 2.6.0.7 で修正済み（WordPress.org の最新版）。回避策は確認できていない - 実際の悪用と修正内容の詳細は未確認。更新できない場合の無効化などは推定 NVD は 2026-11-01 に、WordPress の予約・カレンダー用プラグイン「BookIt」の CVE-2026-62048 を登録しました。2.6.0.6 までの版に SQL インジェクション（CWE-89）があり、CVSS v3.1 は 9.3（CRITICAL）です。攻撃条件は、ネットワーク越し・複雑さは低い・権限不要・利用者の操作不要とされています。2.6.0.7 で修正されています。 ## 何が起きるか - 影響を受けるのは、StellarWP（Liquid Web）が提供する WordPress プラグイン BookIt（スラッグ bookit）の、2.6.0.6 以前のすべての版です。 - 内容は「SQL コマンドに使う特殊文字の不適切な無害化」で、入力値が SQL 文にそのまま組み込まれる種類の問題です。攻撃が成立すると、サイトのデータベースに入っている情報（予約者の連絡先、利用者情報、ログイン情報など）を読み出される可能性があります。 - CVSS のベクターでは、機密性への影響が「高」、可用性への影響が「低」、完全性への影響は「なし」です。スコープが「変更あり」とされているため、プラグイン以外のデータにも届く想定の評価です。 - どの入口（ページ・リクエスト）から攻撃できるかは、NVD の記述にありません（未確認）。 - 実際の悪用は確認していません。CISA の SSVC 評価（2026-11-01 付）は、悪用なし（exploitation: none）・自動化可能（automatable: yes）・技術的影響は部分的（partial）です。具体的な攻撃手順は載せません。 ## 修正の状況 - NVD の影響範囲の記述は、2.6.0.6 以前が影響あり、2.6.0.7 で影響なしです。 - WordPress.org のプラグイン情報では、2026-11-02 時点の最新版が 2.6.0.7 で、最終更新は 2026-10-29 です。 - 公式の修正の差分や変更履歴で、この CVE の修正内容を直接確かめることはしていません（未確認）。回避策は確認できていません。 ## 数値と出典（2026-11-02 時点） | 項目 | 内容 | |---|---| | CVE | CVE-2026-62048 | | NVD 公開日 | 2026-11-01 | | 影響版 | BookIt 2.6.0.6 まで | | 修正版 | 2.6.0.7 | | CWE | CWE-89（SQL インジェクション） | | CVSS v3.1 | 9.3 CRITICAL（AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:N/A:L）。CNA の Patchstack による値（NVD 上の種別は Secondary） | | NVD の状態 | Received（NVD 自身の評価は未実施） | | EPSS | 公開直後のため未算出（2026-11-02 に FIRST の API を確認、該当データなし） | | KEV | 掲載なし（CISA の JSON で CVE-2026-62048 の不在を確認） | ## severity を critical とした理由 CVSS v3.1 は 9.3 で、認証なし・操作なしでネットワーク越しに届き、データベースの情報の漏えいにつながる評価です。CISA の SSVC でも、自動化可能とされています。一方で、実際の悪用は確認されておらず、EPSS は公開直後で未算出、KEV にも載っていません。入口の詳細が分からないことと、修正版が出ていることを踏まえると、high との境界にあります。予約システムは氏名・連絡先など個人情報を扱うことが多く、認証不要の SQL インジェクションである点を重視して critical としました。 ## 対応として考えられること 1. WordPress の管理画面で BookIt（Bookit — Booking & Appointment Calendar）を使っているか、版がいくつかを確認します。 2. 2.6.0.6 以前なら、2.6.0.7 以降へ更新します。 3. 更新できない場合は、プラグインを一時的に無効化することが考えられます（推定。予約機能は止まります）。 4. 更新前に公開していた期間がある場合は、アクセスログに不審な長いパラメータや SQL 文の断片を含むリクエストがないかを調べます（推定）。 5. 疑わしい形跡があれば、予約者データの流出を前提に、データベースの接続パスワードと WordPress の管理者パスワードの変更を検討します（推定）。 ## 未確認の点 - 実際の悪用は確認していません。 - 攻撃の入口（どのリクエストか）と、実際に読み出せる情報の範囲は確認できていません。 - 2.6.0.7 の修正内容と、修正の完全性は確認していません。 - NVD 自身の評価は未実施（Received）です。CVSS は CNA（Patchstack）の値です。 ## 出典 - [NVD CVE-2026-62048](https://nvd.nist.gov/vuln/detail/CVE-2026-62048) — NIST NVD - [CVE-2026-62048 CVE レコード](https://www.cve.org/CVERecord?id=CVE-2026-62048) — CVE Program - [Patchstack データベース BookIt 2.6.0.6 SQL インジェクション](https://patchstack.com/database/wordpress/plugin/bookit/vulnerability/wordpress-bookit-plugin-2-6-0-6-sql-injection-vulnerability) — Patchstack - [BookIt（WordPress.org プラグイン）](https://wordpress.org/plugins/bookit/) — WordPress.org - [FIRST EPSS CVE-2026-62048](https://api.first.org/data/v1/epss?cve=CVE-2026-62048) — FIRST - [CISA KEV カタログ](https://www.cisa.gov/known-exploited-vulnerabilities-catalog) — CISA --- 出典: World Security（株式会社NTP） https://n-t-p.io/worldsecurity/articles/wordpress-bookit-plugin-sql-injection-unauthenticated-cve-2026-62048-2-6-0-6-and-earlier-fixed-2-6-0-7