---
title: "WordPress「WP Booking System」2.1.0.5 以前で、購読者権限でも任意のカレンダーメモを削除できる権限チェック欠落（CVE-2026-116557）: CVSS 9.1（Wordfence）、修正版は推定"
url: https://n-t-p.io/worldsecurity/articles/wp-booking-system-missing-capability-check-calendar-note-deletion-subscriber-up-to-2-1-0-5-cve-2026-116557
lang: ja
kind: 速報
category: 脆弱性・CVE
author: World Security 編集部
published: 2026年11月1日
updated: 2026年11月1日
severity: 高
cve: CVE-2026-116557
---

# WordPress「WP Booking System」2.1.0.5 以前で、購読者権限でも任意のカレンダーメモを削除できる権限チェック欠落（CVE-2026-116557）: CVSS 9.1（Wordfence）、修正版は推定

> **TL;DR:** WordPress 向けプラグイン WP Booking System – Booking Calendar の 2.1.0.5 までの全版で、wpbs_action_ajax_calendar_remove_note() に権限チェックがなく、購読者以上の認証済みユーザーが任意のカレンダーのメモを削除できると説明されている（CVE-2026-116557、CWE-862）。CVSS v3.1 は 9.1（Wordfence が付与、NVD 自身の評価は未実施）。EPSS は 0.35%、KEV なし、悪用の報告は未確認。修正版の番号は未確認（確認時点の最新版は 2.1.0.7）。

**要点**
- WP Booking System – Booking Calendar 2.1.0.5 までの全版：メモ削除の Ajax 処理に権限チェックがなく、購読者以上の認証済みユーザーが任意のカレンダーのメモを削除できると説明されている。再現は当サイトでは未実施
- CVSS v3.1 は 9.1（Wordfence の値）。NVD の状態は Received。ベクターは権限不要（PR:N）だが説明文は購読者以上で、食い違いあり。EPSS は 0.35%（パーセンタイル 28.4%）、KEV なし、実際の悪用の報告は未確認
- 影響は他者のカレンダーのメモの削除で、情報漏えいやコード実行は説明に含まれていない（CNA の説明）
- 修正版の番号は未確認。確認時点の最新版は 2.1.0.7 で、更新と変更履歴の確認を推奨（推定）。誰でも登録できる設定のサイトは特に注意
- メモ以外への影響、具体的な悪用条件、悪用の有無は未確認

NVD は 2026-10-31（07:16 UTC）に、WordPress 向けプラグイン「WP Booking System – Booking Calendar」の CVE-2026-116557 を登録しました。説明によれば、**2.1.0.5 までのすべての版**で、`wpbs_action_ajax_calendar_remove_note()` 関数に**権限チェックの欠落**（CWE-862）があり、**購読者（Subscriber）以上の認証済みユーザーが、任意のカレンダーに属するメモを削除できる**とされています。登録元（CNA）は Wordfence で、NVD の状態は登録直後の「Received」（NVD 自身の分析は未実施）です。

## 何が起きるか（CNA の説明）

- 弱点の種別は CWE-862（認可の欠落）です。メモを削除する Ajax 処理で、操作する人の権限を確認していません。
- 購読者権限のアカウントがあれば、**どのカレンダーのメモでも削除できる**と説明されています。データの改変（削除）が問題で、情報の漏えいやコード実行は説明に含まれていません。
- CVSS v3.1 は 9.1（Critical、CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:H）です。**Wordfence（CNA）が付与した値**で、NVD 自身の評価はまだありません。
- なお、この評価ベクターでは権限要件が「不要（PR:N）」ですが、説明文は「購読者以上の認証済みユーザー」としています。両者は食い違っており、実際に必要な権限は説明文のほうが実態に近い可能性があります（推定）。サイトで利用者登録が開放されている場合は、実質的に誰でも条件を満たせる点にも注意が必要です。
- 参照先に、修正前の該当ソース（`functions-notes.php`、2.1.0.5）の複数行と、プラグインのリポジトリ上の変更履歴（changeset）、Wordfence の脆弱性情報が載っています。当サイトでは中身を開いていません。
- 実際の攻撃での悪用の報告は確認できていません。公開されている攻撃コードの有無も確認していません。

## 影響を受ける条件と評価

| 項目 | 内容 |
|---|---|
| 対象 | WP Booking System – Booking Calendar 2.1.0.5 までのすべての版（CNA の記載） |
| 前提 | 購読者以上のアカウントでログインできること（説明文の記載）。ベクター上は権限不要（PR:N）で、食い違いあり |
| 影響 | 任意のカレンダーのメモの削除（完全性・可用性への影響） |
| CVSS | v3.1 は 9.1（Critical）。Wordfence（CNA）の値 |
| 状態 | NVD の状態は「Received」（登録直後。NVD 自身の分析は未実施） |
| EPSS | 0.35%（パーセンタイル 28.4%、2026-10-31 時点。FIRST の値） |
| KEV | 掲載なし（確認時点の版） |
| 修正 | 修正版の番号は NVD に見当たらない |

## 対応として考えられること（本記事の推定）

1. WP Booking System を使っている場合、プラグインの版が 2.1.0.5 以下かを確認します。
2. 参照先にプラグインのリポジトリ上の変更履歴（changeset）があることから、権限チェックを加える修正は入っていると推定されます。WordPress.org のプラグイン情報では、確認時点（2026-11-01）の最新版は 2.1.0.7 でした。ただし、**どの版で脆弱性が修正されたかは、本記事では確認できていません**。最新版へ更新し、プラグインの変更履歴で確かめてください。
3. 更新までの間、購読者などの低い権限のアカウントを新規に作れる設定（誰でも登録可能）になっていないか見直します。
4. 予約カレンダーのメモが意図せず消えていないか、必要なら管理者がバックアップと突き合わせます。具体的な攻撃の指標は公開されておらず、未確認です。

## 未確認の点

- 修正版の番号と、修正の中身（どのチェックを加えたか）は確認していません。
- 攻撃の再現はしていません。メモの削除以外に影響が及ぶかは、説明以上のことは未確認です。
- 悪用の報告は確認できていません。KEV にも載っていません（確認時点の版）。
- CVSS は Wordfence の値のみで、NVD 自身の評価は確認できていません。本記事の severity 欄は、影響が説明上メモの削除に限られ、必要な権限も説明文では購読者以上であることから、CVSS 9.1 より一段低い high としました（当サイトの判断）。実際の深刻度は環境によって異なります。
- 当サイトでは、挙動を再現していません。記載は NVD の記載に基づきます。
- 日付は NVD の登録（2026-10-31 07:16 UTC）に基づきます。


## 出典
- [NVD CVE-2026-116557](https://nvd.nist.gov/vuln/detail/CVE-2026-116557) — NIST NVD
- [Wordfence Threat Intelligence: CVE-2026-116557](https://www.wordfence.com/threat-intel/vulnerabilities/id/b25cc768-3377-41c9-acf5-8f6c993287c9?source=cve) — Wordfence
- [WordPress.org プラグイン情報 WP Booking System](https://wordpress.org/plugins/wp-booking-system/) — WordPress.org
- [FIRST EPSS CVE-2026-116557](https://api.first.org/data/v1/epss?cve=CVE-2026-116557) — FIRST
- [CISA KEV カタログ](https://www.cisa.gov/known-exploited-vulnerabilities-catalog) — CISA

---
出典: World Security（株式会社NTP） https://n-t-p.io/worldsecurity/articles/wp-booking-system-missing-capability-check-calendar-note-deletion-subscriber-up-to-2-1-0-5-cve-2026-116557