WordPressの予約管理プラグイン「Booking Package」に、予約者の個人情報が第三者に取得される可能性のある脆弱性が報告されました。2026年10月13日に公開されたCVE-2026-103423は、CVSS 7.5と評価されています。バージョン1.7.29以前が対象です。Wordfence
Booking Packageとは？
Booking Packageは、WordPressサイトに予約受付機能を設置できるプラグインです。
美容室、宿泊施設、レンタルスペース、各種教室など、さまざまな業種の予約管理に利用できます。予約カレンダーの表示、予約受付、予約状況の管理などをWordPressの管理画面から行えます。日本語にも対応しており、国内のWebサイトでも利用しやすいプラグインです。
2026年10月13日時点の有効インストール数は10,000以上です。
今回の脆弱性について
今回の問題は、予約データを取得する処理の権限確認が不十分だったことに関係しています。悪用された場合、ログインしていない第三者が予約者の情報を取得できる可能性があります。
取得されるおそれのある情報には、氏名、メールアドレス、電話番号、住所、予約キャンセル用のトークンなどが含まれます。
予約システムでは個人情報を扱うことが多いため、特に注意したい問題です。
確認と対策
今回の問題はバージョン1.7.30で修正されています。現在は1.7.31が公開されています。対象バージョンを利用している場合は、バックアップを取得して更新してください。更新後は、予約フォーム、予約カレンダー、予約確認メール、管理画面での予約確認などが正常に動作するか確認しましょう。
まとめ
予約システムでは、顧客の個人情報を安全に管理することが重要です。予約機能が正常に動作していても、セキュリティ上の問題が存在する可能性があります。
定期的な更新と、予約情報の適切な管理を心がけましょう。
公式情報： WordPress.org — Booking Package
脆弱性情報： Wordfence — CVE-2026-103423