---
title: "WordPress プラグイン Email Templates Customizer and Designer（1.5.14 以前）で認証なしに WooCommerce の顧客情報を取得できる可能性（CVE-2026-107630、CVSS v3.1 7.5）: preview_order 引数と使い回せる nonce、最新版は 1.5.15"
url: https://n-t-p.io/worldsecurity/articles/wordpress-email-templates-customizer-designer-woocommerce-preview-order-nonce-customer-pii-disclosure-up-to-1-5-14-cve-2026-107630
lang: ja
kind: 速報
category: 脆弱性・CVE
author: World Security 編集部
published: 2026年11月2日
updated: 2026年11月2日
severity: 高
cve: CVE-2026-107630
---

# WordPress プラグイン Email Templates Customizer and Designer（1.5.14 以前）で認証なしに WooCommerce の顧客情報を取得できる可能性（CVE-2026-107630、CVSS v3.1 7.5）: preview_order 引数と使い回せる nonce、最新版は 1.5.15

> **TL;DR:** WordPress プラグイン Email Templates Customizer and Designer for WordPress and WooCommerce の 1.5.14 以前で、認可の欠落（CWE-862）により、認証なしの 2 回のリクエストで WooCommerce の顧客の請求先情報（氏名・住所・電話番号・メール）を取得できる可能性がある（CVE-2026-107630）。CVSS v3.1 7.5、最新版は 1.5.15。KEV なし、EPSS 0.51%、悪用は未確認。

**要点**
- 1.5.14 以前で、admin_init の処理が返す 302 の Location から再利用できる nonce を取り出し、preview_order に任意の注文 ID を渡すと、顧客の請求先情報を取得できる可能性がある（認可の欠落、CWE-862）。認証・利用者の操作は不要
- CVSS v3.1 は 7.5（機密性のみ高。登録元の値）。NVD は Deferred で独自評価なし。SSVC は悪用 none・自動化 yes・技術的影響 partial
- WordPress.org の最新版は 1.5.15（2026-10-28 更新）。修正版かどうかの明記は未確認（推定）
- 実際の悪用は未確認。KEV なし、EPSS は 0.51%（パーセンタイル 43.5%、2026-11-01 値）
- 更新までの無効化、アクセスログの確認、個人情報の取り扱いの検討は推定

NVD は 2026-10-30 に、WordPress プラグイン「Email Templates Customizer and Designer for WordPress and WooCommerce」の 1.5.14 までの版に関する脆弱性 CVE-2026-107630 を登録しました。プラグインが操作の権限を正しく確認していないため（認可の欠落、CWE-862）、ログインしていない攻撃者が WooCommerce の注文 ID を順に試し、顧客の請求先の氏名・住所・電話番号・メールアドレスを取得できる可能性があります。CVSS v3.1 は 7.5（機密性のみ「高」）で、攻撃にアカウントも利用者の操作も要りません。WordPress.org の最新版は 1.5.15 で、2026-10-28 に更新されています。

## 何が起きるか

- 対象は Email Templates Customizer and Designer for WordPress and WooCommerce の 1.5.14 以前です（NVD の影響版の一覧。「1.5.14 まで」の全版）。
- 登録元（CNA）の説明では、攻撃は 2 回の認証なしリクエストで成り立ちます。1 回目は、認可の確認がない admin_init の処理が返す 302 応答の Location ヘッダーから、再利用できる nonce（使い捨てのはずの確認用トークン）を取り出します。2 回目は、その nonce と任意の注文 ID を preview_order 引数としてプレビュー用の入口に渡します。
- これにより、注文 ID を順に変えながら、すべての顧客の請求先の氏名・住所・電話番号・メールアドレスを取り出せる可能性があります。アカウントも資格情報も要らないと説明されています。
- 影響は情報の漏えいで、CVSS では完全性と可用性への影響は「なし」です。取得できる範囲は請求先の情報で、決済カード番号などが含まれるかは確認していません。
- 本記事では攻撃の詳細は扱いません。

## 修正の状況

- WordPress.org のプラグインページで、最新版は 1.5.15（最終更新 2026-10-28、2026-11-02 取得）です。NVD の影響版は 1.5.14 以前なので、1.5.15 で修正された可能性が高い（推定）ですが、1.5.15 で脆弱性が解消されたと明記した勧告や変更履歴の記述は確認していません。
- NVD の参照先には、プラグインのソースコード（1.5.14 の該当箇所）と、変更セット（changeset）、登録元の勧告ページがあります。変更セットの内容は確認していません。

## 数値と出典（2026-11-02 時点）

| CVE | 箇所（引数） | 種類 | 必要な権限 | CVSS v3.1 | CWE | EPSS（パーセンタイル） |
|---|---|---|---|---|---|---|
| CVE-2026-107630 | preview_order（プレビュー入口と admin_init の処理） | 認可の欠落による顧客情報の漏えい | なし（認証不要） | 7.5 | CWE-862 | 0.51%（43.5%） |

- NVD の状態は Deferred で、NVD 自身の評価はまだありません。CVSS は登録元（CNA）の値で、v3.1 のベクターは AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N（7.5）です。CVSS v4.0 の値は NVD にありません。
- EPSS（FIRST）は 2026-11-01 の値で、0.51%（パーセンタイル 43.5%）です。
- KEV（CISA の悪用確認済みカタログ）には掲載がありません（2026-11-02 取得、カタログの公開日は 2026-10-30）。
- CISA の SSVC 評価（NVD に記載）は、悪用 none（確認なし）・自動化 yes（自動化できる）・技術的影響 partial（部分的）です。

## severity を high とした理由

認証不要・利用者の操作不要で、注文 ID を順に試すだけで顧客の個人情報をまとめて取得できる可能性があり、SSVC でも「自動化できる」と評価されています。一方で、影響は情報の漏えいに限られ、実際の悪用は確認しておらず、KEV にも載っておらず、EPSS も 0.51% と低く、最新版 1.5.15 が出ています。以上から critical ではなく high としています。

## 対応として考えられること

1. WordPress の管理画面でこのプラグイン（Email Templates Customizer and Designer for WordPress and WooCommerce）を使っているか、版が 1.5.14 以下かを確認します。
2. 1.5.15 以降に更新します。更新後に版数を再確認します。
3. すぐに更新できない場合は、プラグインを一時的に無効化します（推定）。
4. WooCommerce の注文情報が外部から取得された可能性があるため、更新前の期間のアクセスログで、preview_order を含む短時間の大量リクエストがないかを確認します（推定）。
5. 不審なアクセスが見つかった場合は、顧客への連絡や関係機関への届け出が必要かを、自社の個人情報保護の手順に沿って検討します（推定）。

## 未確認の点

- 実際の攻撃での悪用は確認していません。
- 1.5.15 が本脆弱性の修正版であることを示す記述は確認していません（推定）。
- 取得できる情報が請求先以外（配送先や注文内容など）に及ぶかは未確認です。
- 利用者数（有効インストール数）は確認していません。
- NVD 自身の評価は未実施（Deferred）です。CVSS は登録元の値で、v4.0 の値はありません。


## 出典
- [NVD CVE-2026-107630](https://nvd.nist.gov/vuln/detail/CVE-2026-107630) — NIST NVD
- [Email Templates Customizer and Designer プラグインページ（WordPress.org）](https://wordpress.org/plugins/email-templates/) — WordPress.org
- [WordPress プラグイン変更セット 3770280](https://plugins.trac.wordpress.org/changeset/3770280/email-templates/trunk/includes/woocommerce-customizer/class-mailtpl-woomail-preview.php) — WordPress.org
- [Wordfence 脆弱性情報（CVE-2026-107630）](https://www.wordfence.com/threat-intel/vulnerabilities/id/52eaab58-1e94-4f71-9896-dc2154b00e8e?source=cve) — Wordfence
- [FIRST EPSS](https://api.first.org/data/v1/epss?cve=CVE-2026-107630) — FIRST
- [CISA KEV カタログ](https://www.cisa.gov/known-exploited-vulnerabilities-catalog) — CISA

---
出典: World Security（株式会社NTP） https://n-t-p.io/worldsecurity/articles/wordpress-email-templates-customizer-designer-woocommerce-preview-order-nonce-customer-pii-disclosure-up-to-1-5-14-cve-2026-107630