WordPress プラグイン「WP Directory Kit」1.6.0 までに、認証不要の SQL インジェクション（CVE-2026-109197）: 更新版は 1.6.1 だが、この欠陥の修正かは未確認

NVD は 2026-10-31 に、WordPress 用の掲載・ディレクトリ作成プラグイン「WP Directory Kit」の CVE-2026-109197 を登録しました。説明によると、1.6.0 までの版は idfield パラメータの無害化が不十分で、SQL 文の組み立ても安全な形になっていません。そのため認証のない攻撃者が既存の問い合わせに別の SQL を付け足し、データベースの情報を取り出せるおそれがあります。登録元（CNA）は Wordfence です。

何が起きるか

• 原因は、利用者が渡す idfield の値を十分に処理せずに SQL へ組み込んでいることです（CWE-89）。
• 攻撃に認証は要りません。サイトがインターネットに公開されていれば、外部から届きます。
• 影響の中心は情報の漏えいです。CNA の評価でも、機密性のみ「高」、完全性・可用性は「なし」です。
• 実際の悪用は確認していません。攻撃の具体的な手順は本記事には載せません。

修正の状況

• 影響を受けるのは 1.6.0 までです（CNA の記載）。
• WordPress.org の配布ページの最新版は 1.6.1（最終更新 2026-10-16）です。1.6.1 の更新履歴は「Fixed security」とだけ書かれ、この CVE の修正かどうかは明記されていません。CVE の登録（10/31）より前の更新のため、関係する可能性は高いと推定しますが、未確認です。
• 更新履歴は、1.4.5 以降ほぼ毎回「Fixed security」と記されています。アクティブなインストール数は 2,000 以上と表示されています。

数値と出典（2026-11-01 時点）

項目	内容
CVE	CVE-2026-109197（CWE-89 SQL インジェクション）
影響版	WP Directory Kit 1.6.0 まで
修正版	1.6.1 が最新。ただし、この欠陥の修正かは未確認
CVSS v3.1	7.5（High、AV:N/AC:L/PR:N/UI:N/C:H/I:N/A:N）。Wordfence（CNA）の値
NVD の状態	Deferred（NVD 自身の評価は未実施）
EPSS	0.54%（パーセンタイル 45.5%、2026-10-31、FIRST）
KEV	掲載なし（CISA の JSON で確認）

severity を high とした理由

認証不要・ネットワーク経由・低い難度でデータベースの情報に届くため、CVSS は 7.5 です。一方で、影響は情報漏えいに限られ、EPSS は低く、KEV にも載っておらず、利用規模も大きくないため、critical ではなく high としました。

対応として考えられること

1. 利用中の WP Directory Kit の版を確認します（管理画面の「プラグイン」）。
2. 1.6.0 以下なら、最新の 1.6.1 以降へ更新します。更新前にデータベースとファイルのバックアップを取ります。
3. 更新できない場合は、プラグインを一時的に無効にするか、ディレクトリ機能を使うページへのアクセスを絞ります。
4. 公開サイトでは、idfield に不審な値が付いたリクエストがアクセスログに残っていないか確かめます。

未確認の点

• 実際の悪用は確認していません。
• 1.6.1 がこの CVE の修正を含むかは、更新履歴が簡素なため確認できていません（プラグインのソースは取得時にアクセスできませんでした）。
• NVD 自身の評価は未実施（Deferred）です。CVSS は Wordfence（CNA）の値です。