---
title: "WordPress プラグイン 2 種の高リスク欠陥（CVE-2026-119163・120040、CVSS v3.1 7.5）: FunnelKit Automations は認証不要の SQL インジェクション、Mail logging & Catcher は管理者権限の奪取"
url: https://n-t-p.io/worldsecurity/articles/wordpress-plugins-funnelkit-automations-sql-injection-mail-logging-catcher-admin-takeover-2-cves-cve-2026-119163
lang: ja
kind: 速報
category: 脆弱性・CVE
author: World Security 編集部
published: 2026年11月2日
updated: 2026年11月2日
severity: 高
cve: CVE-2026-119163, CVE-2026-120040
---

# WordPress プラグイン 2 種の高リスク欠陥（CVE-2026-119163・120040、CVSS v3.1 7.5）: FunnelKit Automations は認証不要の SQL インジェクション、Mail logging & Catcher は管理者権限の奪取

> **TL;DR:** WordPress プラグイン 2 種（FunnelKit Automations 3.8.5.2 以前・Mail logging & Catcher 2.2.0 以前）の高リスク欠陥（CVSS v3.1 7.5）。前者は認証不要の SQL インジェクション、後者は購読者から管理者への昇格。どちらも成立に前提付き。KEV なし、EPSS は 0.28〜0.30%、悪用は未確認。修正版は 1 件のみ推定。

**要点**
- CVE-2026-119163: FunnelKit Automations 3.8.5.2 以前で、ゲスト購入時に細工した bwfan_cart_id を保存させ、後のスケジュールジョブで SQL が実行される認証不要の時間差型 SQL インジェクション（CVSS 7.5、機密性のみ）
- CVE-2026-120040: Mail logging & Catcher 2.2.0 以前で、購読者以上がメールログから管理者のパスワード再設定キーを取り出し管理者になれる（CVSS 7.5）。管理者が default_view_role を低権限に変えている場合のみ成立
- 2.3.0 で CVE-2026-120040 が修正されたと推定。CVE-2026-119163 の修正版の番号は未確認
- CVSS は Wordfence（CNA）の値。NVD は Received で独自評価なし。KEV なし、EPSS は 0.28〜0.30%、悪用は未確認
- 緩和策（設定の見直し、プラグインの一時停止）は推定

NVD は 2026-10-31 に、WordPress プラグイン 2 種の脆弱性 2 件（CVE-2026-119163・CVE-2026-120040）を登録しました。登録元（CNA）はどちらも Wordfence で、CVSS v3.1 はどちらも 7.5 です。1 件は WooCommerce 連携のマーケティング自動化プラグイン FunnelKit Automations の、認証なしで突ける SQL インジェクション。もう 1 件は、メール送信ログ記録プラグイン Mail logging & Catcher の、購読者権限から管理者権限へ昇格される欠陥です。2 件とも成立には前提があります。

## 2 件の内容

| CVE | プラグイン（影響版） | 弱点 | 必要な権限 | 成立の前提 |
|---|---|---|---|---|
| CVE-2026-119163 | FunnelKit Automations – Email Marketing Automation and CRM for WordPress & WooCommerce（3.8.5.2 以前） | SQL インジェクション（時間差型、CWE-89） | 不要 | ゲスト購入の Store API を使えること（公開されている WooCommerce のカート用 nonce だけで足りる）。注文状態の遷移後にスケジュールジョブが動く必要がある |
| CVE-2026-120040 | Mail logging & Catcher（2.2.0 以前） | 権限の昇格（CWE-269） | 購読者（Subscriber）以上 | 管理者が設定 default_view_role を、低権限ユーザーも持つ権限（例: read）に変更している。既定の manage_options なら管理者しか見られない |

## 各件の仕組み

- **CVE-2026-119163（SQL インジェクション）**: パラメーター bwfan_cart_id のエスケープとクエリの準備が不十分です。攻撃は 2 段階で、まず攻撃者がゲスト購入の途中で細工した bwfan_cart_id を送ります。値は保存され、その後、注文状態が保留・失敗・キャンセルから別の状態に移ったときにスケジュールジョブ（Action Scheduler）が保存済みの値を読み直し、そこで SQL が実行されます。時間差型のため、結果は応答時間の差から少しずつ読み取る形になり、データベース内の機密情報の取得につながると説明されています。影響は機密性が高、完全性と可用性は影響なしと評価されています。
- **CVE-2026-120040（権限の昇格）**: メール送信ログに、パスワード再設定のメールが本文ごと保存されます。購読者以上のユーザーが、パラメーター message を通じて保存済みのログを読み出し、管理者宛の再設定キーを取り出して、WordPress の再設定手順を完了することで、管理者になれると説明されています。既定の設定ではログの閲覧が管理者に限られるため、前提の設定変更がなければ成立しません。

## 修正の状況

- CVE-2026-120040: 参照先に GitHub のリリース v2.3.0 があり、2.3.0 で修正されたと推定されます。変更内容は未確認です。
- CVE-2026-119163: 参照先に WordPress プラグインの変更履歴（changeset 3759554、includes/db/class-bwfan-model-automation-contact.php の変更）があります。ただし、修正版の番号は NVD の説明になく、未確認です。
- 2 件とも、ベンダーの勧告や回避策は確認できていません（2026-11-02 時点）。

## 数値と出典（2026-11-02 時点）

| CVE | CVSS v3.1 | ベクター | EPSS（FIRST、11/1 付） | KEV |
|---|---|---|---|---|
| CVE-2026-119163 | 7.5 | AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N | 0.30% | 掲載なし |
| CVE-2026-120040 | 7.5 | AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H | 0.28% | 掲載なし |

- NVD の状態は 2 件とも Received で、NVD 自身の評価はまだありません。CVSS は Wordfence（CNA）の値です。
- KEV（CISA の悪用確認済みカタログ）には 2 件とも掲載がありません（2026-11-02 取得、カタログの公開日は 2026-10-30）。

## severity を high とした理由

SQL インジェクションは認証不要で、データベースの情報が盗まれうる点が重い一方、2 段階の攻撃で結果は時間差から読み取る形になり、影響は機密性に限られます。管理者権限の奪取は影響が大きいものの、既定の設定では成立しません。EPSS は 0.28〜0.30% と低く、KEV にも載っておらず、悪用は確認していません。このため critical にはせず、high としています。

## 対応として考えられること

1. 自社や顧客のサイトで、FunnelKit Automations と Mail logging & Catcher を使っているか、版がいくつかを確認します。
2. Mail logging & Catcher は 2.3.0 以降に更新します（推定。変更内容は未確認）。FunnelKit Automations は、プラグインの更新履歴で 3.8.5.2 より新しい版が出ていないかを確認して更新します。
3. Mail logging & Catcher は、設定 default_view_role が manage_options のままか確認し、低権限のユーザーに閲覧を許していれば戻します（緩和になりえます。推定）。
4. 更新できない間は、該当プラグインの一時停止を検討します。FunnelKit の放棄カート機能を使っていなければ、停止の影響は小さいと考えられます（推定）。
5. 管理者アカウントのメールアドレスやパスワードが、意図せず変更されていないか、新しい管理者が作られていないかを確認します。パスワード再設定メールがログに残っていれば、ログの削除も検討します（推定）。

## 未確認の点

- 実際の攻撃での悪用は確認していません。
- CVE-2026-119163 の修正版の番号、CVE-2026-120040 の修正内容は未確認です。
- 緩和策の効果（対策 3・4）は推定です。
- NVD 自身の評価は未実施（Received）です。CVSS は CNA の値です。


## 出典
- [NVD CVE-2026-119163](https://nvd.nist.gov/vuln/detail/CVE-2026-119163) — NIST NVD
- [NVD CVE-2026-120040](https://nvd.nist.gov/vuln/detail/CVE-2026-120040) — NIST NVD
- [FIRST EPSS](https://api.first.org/data/v1/epss?cve=CVE-2026-119163,CVE-2026-120040) — FIRST
- [CISA KEV カタログ](https://www.cisa.gov/known-exploited-vulnerabilities-catalog) — CISA

---
出典: World Security（株式会社NTP） https://n-t-p.io/worldsecurity/articles/wordpress-plugins-funnelkit-automations-sql-injection-mail-logging-catcher-admin-takeover-2-cves-cve-2026-119163