---
title: "WordPress プラグイン「WP Directory Kit」1.6.0 までに、認証不要の SQL インジェクション（CVE-2026-109197）: 更新版は 1.6.1 だが、この欠陥の修正かは未確認"
url: https://n-t-p.io/worldsecurity/articles/wp-directory-kit-idfield-sql-injection-cwe-89-cve-2026-109197-1-6-0-and-earlier
lang: ja
kind: 速報
category: 脆弱性・CVE
author: World Security 編集部
published: 2026年11月1日
updated: 2026年11月1日
severity: 高
cve: CVE-2026-109197
---

# WordPress プラグイン「WP Directory Kit」1.6.0 までに、認証不要の SQL インジェクション（CVE-2026-109197）: 更新版は 1.6.1 だが、この欠陥の修正かは未確認

> **TL;DR:** WordPress プラグイン「WP Directory Kit」1.6.0 まで、idfield パラメータ経由で認証なしの SQL インジェクションが可能（CVE-2026-109197、CWE-89）。データベースの情報が漏れるおそれ。CVSS v3.1 は 7.5（Wordfence）、EPSS 0.54%、KEV なし。最新版は 1.6.1 だが、この欠陥の修正かは未確認。

**要点**
- WP Directory Kit 1.6.0 までが対象。idfield パラメータの処理不備による SQL インジェクション（CWE-89）
- 認証不要・ネットワーク経由。影響は情報漏えい（機密性のみ「高」）
- CVSS v3.1 は 7.5（Wordfence の値）。EPSS 0.54%、KEV なし、NVD は Deferred
- 最新版 1.6.1 へ更新する。ただし 1.6.1 がこの欠陥の修正かは未確認
- 実際の悪用は未確認

NVD は 2026-10-31 に、WordPress 用の掲載・ディレクトリ作成プラグイン「WP Directory Kit」の CVE-2026-109197 を登録しました。説明によると、1.6.0 までの版は `idfield` パラメータの無害化が不十分で、SQL 文の組み立ても安全な形になっていません。そのため認証のない攻撃者が既存の問い合わせに別の SQL を付け足し、データベースの情報を取り出せるおそれがあります。登録元（CNA）は Wordfence です。

## 何が起きるか

- 原因は、利用者が渡す `idfield` の値を十分に処理せずに SQL へ組み込んでいることです（CWE-89）。
- 攻撃に認証は要りません。サイトがインターネットに公開されていれば、外部から届きます。
- 影響の中心は情報の漏えいです。CNA の評価でも、機密性のみ「高」、完全性・可用性は「なし」です。
- 実際の悪用は確認していません。攻撃の具体的な手順は本記事には載せません。

## 修正の状況

- 影響を受けるのは 1.6.0 までです（CNA の記載）。
- WordPress.org の配布ページの最新版は 1.6.1（最終更新 2026-10-16）です。1.6.1 の更新履歴は「Fixed security」とだけ書かれ、この CVE の修正かどうかは明記されていません。CVE の登録（10/31）より前の更新のため、関係する可能性は高いと推定しますが、**未確認**です。
- 更新履歴は、1.4.5 以降ほぼ毎回「Fixed security」と記されています。アクティブなインストール数は 2,000 以上と表示されています。

## 数値と出典（2026-11-01 時点）

| 項目 | 内容 |
|---|---|
| CVE | CVE-2026-109197（CWE-89 SQL インジェクション） |
| 影響版 | WP Directory Kit 1.6.0 まで |
| 修正版 | 1.6.1 が最新。ただし、この欠陥の修正かは未確認 |
| CVSS v3.1 | 7.5（High、AV:N/AC:L/PR:N/UI:N/C:H/I:N/A:N）。Wordfence（CNA）の値 |
| NVD の状態 | Deferred（NVD 自身の評価は未実施） |
| EPSS | 0.54%（パーセンタイル 45.5%、2026-10-31、FIRST） |
| KEV | 掲載なし（CISA の JSON で確認） |

## severity を high とした理由

認証不要・ネットワーク経由・低い難度でデータベースの情報に届くため、CVSS は 7.5 です。一方で、影響は情報漏えいに限られ、EPSS は低く、KEV にも載っておらず、利用規模も大きくないため、critical ではなく high としました。

## 対応として考えられること

1. 利用中の WP Directory Kit の版を確認します（管理画面の「プラグイン」）。
2. 1.6.0 以下なら、最新の 1.6.1 以降へ更新します。更新前にデータベースとファイルのバックアップを取ります。
3. 更新できない場合は、プラグインを一時的に無効にするか、ディレクトリ機能を使うページへのアクセスを絞ります。
4. 公開サイトでは、`idfield` に不審な値が付いたリクエストがアクセスログに残っていないか確かめます。

## 未確認の点

- 実際の悪用は確認していません。
- 1.6.1 がこの CVE の修正を含むかは、更新履歴が簡素なため確認できていません（プラグインのソースは取得時にアクセスできませんでした）。
- NVD 自身の評価は未実施（Deferred）です。CVSS は Wordfence（CNA）の値です。


## 出典
- [NVD CVE-2026-109197](https://nvd.nist.gov/vuln/detail/CVE-2026-109197) — NIST NVD
- [CVE-2026-109197 CVE レコード](https://www.cve.org/CVERecord?id=CVE-2026-109197) — CVE Program
- [Wordfence 脆弱性情報](https://www.wordfence.com/threat-intel/vulnerabilities/id/73ecfe84-dbe1-4e89-959b-e810d9a436f6) — Wordfence
- [WP Directory Kit（WordPress.org）](https://wordpress.org/plugins/wpdirectorykit/) — WordPress.org
- [FIRST EPSS CVE-2026-109197](https://api.first.org/data/v1/epss?cve=CVE-2026-109197) — FIRST
- [CISA KEV カタログ](https://www.cisa.gov/known-exploited-vulnerabilities-catalog) — CISA

---
出典: World Security（株式会社NTP） https://n-t-p.io/worldsecurity/articles/wp-directory-kit-idfield-sql-injection-cwe-89-cve-2026-109197-1-6-0-and-earlier