WordPress プラグイン 2 種の高リスク欠陥（CVE-2026-119163・120040、CVSS v3.1 7.5）: FunnelKit Automations は認証不要の SQL インジェクション、Mail logging & Catcher は管理者権限の奪取

NVD は 2026-10-31 に、WordPress プラグイン 2 種の脆弱性 2 件（CVE-2026-119163・CVE-2026-120040）を登録しました。登録元（CNA）はどちらも Wordfence で、CVSS v3.1 はどちらも 7.5 です。1 件は WooCommerce 連携のマーケティング自動化プラグイン FunnelKit Automations の、認証なしで突ける SQL インジェクション。もう 1 件は、メール送信ログ記録プラグイン Mail logging & Catcher の、購読者権限から管理者権限へ昇格される欠陥です。2 件とも成立には前提があります。

2 件の内容

CVE	プラグイン（影響版）	弱点	必要な権限	成立の前提
CVE-2026-119163	FunnelKit Automations – Email Marketing Automation and CRM for WordPress & WooCommerce（3.8.5.2 以前）	SQL インジェクション（時間差型、CWE-89）	不要	ゲスト購入の Store API を使えること（公開されている WooCommerce のカート用 nonce だけで足りる）。注文状態の遷移後にスケジュールジョブが動く必要がある
CVE-2026-120040	Mail logging & Catcher（2.2.0 以前）	権限の昇格（CWE-269）	購読者（Subscriber）以上	管理者が設定 default_view_role を、低権限ユーザーも持つ権限（例: read）に変更している。既定の manage_options なら管理者しか見られない

各件の仕組み

• CVE-2026-119163（SQL インジェクション）: パラメーター bwfan_cart_id のエスケープとクエリの準備が不十分です。攻撃は 2 段階で、まず攻撃者がゲスト購入の途中で細工した bwfan_cart_id を送ります。値は保存され、その後、注文状態が保留・失敗・キャンセルから別の状態に移ったときにスケジュールジョブ（Action Scheduler）が保存済みの値を読み直し、そこで SQL が実行されます。時間差型のため、結果は応答時間の差から少しずつ読み取る形になり、データベース内の機密情報の取得につながると説明されています。影響は機密性が高、完全性と可用性は影響なしと評価されています。
• CVE-2026-120040（権限の昇格）: メール送信ログに、パスワード再設定のメールが本文ごと保存されます。購読者以上のユーザーが、パラメーター message を通じて保存済みのログを読み出し、管理者宛の再設定キーを取り出して、WordPress の再設定手順を完了することで、管理者になれると説明されています。既定の設定ではログの閲覧が管理者に限られるため、前提の設定変更がなければ成立しません。

修正の状況

• CVE-2026-120040: 参照先に GitHub のリリース v2.3.0 があり、2.3.0 で修正されたと推定されます。変更内容は未確認です。
• CVE-2026-119163: 参照先に WordPress プラグインの変更履歴（changeset 3759554、includes/db/class-bwfan-model-automation-contact.php の変更）があります。ただし、修正版の番号は NVD の説明になく、未確認です。
• 2 件とも、ベンダーの勧告や回避策は確認できていません（2026-11-02 時点）。

数値と出典（2026-11-02 時点）

CVE	CVSS v3.1	ベクター	EPSS（FIRST、11/1 付）	KEV
CVE-2026-119163	7.5	AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N	0.30%	掲載なし
CVE-2026-120040	7.5	AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H	0.28%	掲載なし

• NVD の状態は 2 件とも Received で、NVD 自身の評価はまだありません。CVSS は Wordfence（CNA）の値です。
• KEV（CISA の悪用確認済みカタログ）には 2 件とも掲載がありません（2026-11-02 取得、カタログの公開日は 2026-10-30）。

severity を high とした理由

SQL インジェクションは認証不要で、データベースの情報が盗まれうる点が重い一方、2 段階の攻撃で結果は時間差から読み取る形になり、影響は機密性に限られます。管理者権限の奪取は影響が大きいものの、既定の設定では成立しません。EPSS は 0.28〜0.30% と低く、KEV にも載っておらず、悪用は確認していません。このため critical にはせず、high としています。

対応として考えられること

1. 自社や顧客のサイトで、FunnelKit Automations と Mail logging & Catcher を使っているか、版がいくつかを確認します。
2. Mail logging & Catcher は 2.3.0 以降に更新します（推定。変更内容は未確認）。FunnelKit Automations は、プラグインの更新履歴で 3.8.5.2 より新しい版が出ていないかを確認して更新します。
3. Mail logging & Catcher は、設定 default_view_role が manage_options のままか確認し、低権限のユーザーに閲覧を許していれば戻します（緩和になりえます。推定）。
4. 更新できない間は、該当プラグインの一時停止を検討します。FunnelKit の放棄カート機能を使っていなければ、停止の影響は小さいと考えられます（推定）。
5. 管理者アカウントのメールアドレスやパスワードが、意図せず変更されていないか、新しい管理者が作られていないかを確認します。パスワード再設定メールがログに残っていれば、ログの削除も検討します（推定）。

未確認の点

• 実際の攻撃での悪用は確認していません。
• CVE-2026-119163 の修正版の番号、CVE-2026-120040 の修正内容は未確認です。
• 緩和策の効果（対策 3・4）は推定です。
• NVD 自身の評価は未実施（Received）です。CVSS は CNA の値です。