WordPressの予約カレンダープラグイン「WP Booking System」に、データベース内の情報が不正に読み取られるおそれがある脆弱性が報告されました。
バージョン2.1.0.1以前が対象で、2.1.0.2以降で修正されています。
WP Booking Systemとは？
WP Booking Systemは、Webサイトに予約受付フォームと空き状況カレンダーを設置できるプラグインです。宿泊施設や貸別荘、レンタルサービスなど、日付単位で予約を受け付ける業務に向いています。
カレンダーの空き状況を表示し、利用者からの予約申し込みを受け付けたり、管理画面で予約状況を管理したりできます。
WordPress.orgでの有効インストール数は10,000以上です（2026年10月12日確認）。
今回の脆弱性について
今回報告されたのは、SQLインジェクションと呼ばれる脆弱性です。データベースへの問い合わせ処理に不備があり、ログイン済みの権限が低いユーザーからでも、データベース内の情報が取得される可能性があります。
以前のバージョンで実装されていた権限確認が一部変更されたことに関係する問題と報告されています。
- 脆弱性：CVE-2026-107712
- 深刻度：CVSS 8.5（Patchstack）、6.5（Wordfence）
- 対象：2.1.0.1以前
- 修正版：2.1.0.2以降
- 公開日：2026年10月9日
確認と対策
WP Booking Systemを利用している場合は、プラグインのバージョンを確認し、修正版へ更新してください。
バックアップを取得してから更新し、予約フォームの送信、カレンダー表示、予約データの保存、管理画面での確認が正常に動作するかを確かめましょう。
利用者登録を受け付けているサイトでは、ログインユーザーの権限やアカウント管理も確認しておくとよいでしょう。
予約システムでは、氏名や連絡先などの情報を扱うこともあります。
予約機能が正常に動いている場合でも、安全性を保つため、プラグインの更新状況を定期的に確認することが大切です。
公式・関連情報
メタディスクリプション案
WP Booking SystemのSQLインジェクション脆弱性CVE-2026-107712を解説。予約プラグインの機能、利用規模、影響バージョンと対策を紹介します。