WordPress プラグイン Email Templates Customizer and Designer（1.5.14 以前）で認証なしに WooCommerce の顧客情報を取得できる可能性（CVE-2026-107630、CVSS v3.1 7.5）: preview_order 引数と使い回せる nonce、最新版は 1.5.15

NVD は 2026-10-30 に、WordPress プラグイン「Email Templates Customizer and Designer for WordPress and WooCommerce」の 1.5.14 までの版に関する脆弱性 CVE-2026-107630 を登録しました。プラグインが操作の権限を正しく確認していないため（認可の欠落、CWE-862）、ログインしていない攻撃者が WooCommerce の注文 ID を順に試し、顧客の請求先の氏名・住所・電話番号・メールアドレスを取得できる可能性があります。CVSS v3.1 は 7.5（機密性のみ「高」）で、攻撃にアカウントも利用者の操作も要りません。WordPress.org の最新版は 1.5.15 で、2026-10-28 に更新されています。

何が起きるか

• 対象は Email Templates Customizer and Designer for WordPress and WooCommerce の 1.5.14 以前です（NVD の影響版の一覧。「1.5.14 まで」の全版）。
• 登録元（CNA）の説明では、攻撃は 2 回の認証なしリクエストで成り立ちます。1 回目は、認可の確認がない admin_init の処理が返す 302 応答の Location ヘッダーから、再利用できる nonce（使い捨てのはずの確認用トークン）を取り出します。2 回目は、その nonce と任意の注文 ID を preview_order 引数としてプレビュー用の入口に渡します。
• これにより、注文 ID を順に変えながら、すべての顧客の請求先の氏名・住所・電話番号・メールアドレスを取り出せる可能性があります。アカウントも資格情報も要らないと説明されています。
• 影響は情報の漏えいで、CVSS では完全性と可用性への影響は「なし」です。取得できる範囲は請求先の情報で、決済カード番号などが含まれるかは確認していません。
• 本記事では攻撃の詳細は扱いません。

修正の状況

• WordPress.org のプラグインページで、最新版は 1.5.15（最終更新 2026-10-28、2026-11-02 取得）です。NVD の影響版は 1.5.14 以前なので、1.5.15 で修正された可能性が高い（推定）ですが、1.5.15 で脆弱性が解消されたと明記した勧告や変更履歴の記述は確認していません。
• NVD の参照先には、プラグインのソースコード（1.5.14 の該当箇所）と、変更セット（changeset）、登録元の勧告ページがあります。変更セットの内容は確認していません。

数値と出典（2026-11-02 時点）

CVE	箇所（引数）	種類	必要な権限	CVSS v3.1	CWE	EPSS（パーセンタイル）
CVE-2026-107630	preview_order（プレビュー入口と admin_init の処理）	認可の欠落による顧客情報の漏えい	なし（認証不要）	7.5	CWE-862	0.51%（43.5%）

• NVD の状態は Deferred で、NVD 自身の評価はまだありません。CVSS は登録元（CNA）の値で、v3.1 のベクターは AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N（7.5）です。CVSS v4.0 の値は NVD にありません。
• EPSS（FIRST）は 2026-11-01 の値で、0.51%（パーセンタイル 43.5%）です。
• KEV（CISA の悪用確認済みカタログ）には掲載がありません（2026-11-02 取得、カタログの公開日は 2026-10-30）。
• CISA の SSVC 評価（NVD に記載）は、悪用 none（確認なし）・自動化 yes（自動化できる）・技術的影響 partial（部分的）です。

severity を high とした理由

認証不要・利用者の操作不要で、注文 ID を順に試すだけで顧客の個人情報をまとめて取得できる可能性があり、SSVC でも「自動化できる」と評価されています。一方で、影響は情報の漏えいに限られ、実際の悪用は確認しておらず、KEV にも載っておらず、EPSS も 0.51% と低く、最新版 1.5.15 が出ています。以上から critical ではなく high としています。

対応として考えられること

1. WordPress の管理画面でこのプラグイン（Email Templates Customizer and Designer for WordPress and WooCommerce）を使っているか、版が 1.5.14 以下かを確認します。
2. 1.5.15 以降に更新します。更新後に版数を再確認します。
3. すぐに更新できない場合は、プラグインを一時的に無効化します（推定）。
4. WooCommerce の注文情報が外部から取得された可能性があるため、更新前の期間のアクセスログで、preview_order を含む短時間の大量リクエストがないかを確認します（推定）。
5. 不審なアクセスが見つかった場合は、顧客への連絡や関係機関への届け出が必要かを、自社の個人情報保護の手順に沿って検討します（推定）。

未確認の点

• 実際の攻撃での悪用は確認していません。
• 1.5.15 が本脆弱性の修正版であることを示す記述は確認していません（推定）。
• 取得できる情報が請求先以外（配送先や注文内容など）に及ぶかは未確認です。
• 利用者数（有効インストール数）は確認していません。
• NVD 自身の評価は未実施（Deferred）です。CVSS は登録元の値で、v4.0 の値はありません。