WooCommerce向けプラグイン「Checkout Field Manager」に、権限の低いユーザーがメディアライブラリ内のファイルを削除できる脆弱性が報告されました。2026年10月14日に公表されたCVE-2026-17031は、CVSS 8.1と評価されています。
Checkout Field Managerとは？
Checkout Field Managerは、WooCommerceの購入手続き画面をカスタマイズできるプラグインです。請求先や配送先の入力項目を変更したり、新しい項目を追加したりできます。例えば、ギフトメッセージ、配送希望日、追加の連絡事項などを購入時に入力してもらう用途に利用できます。ファイルアップロード機能も備えているため、注文に必要な画像や資料を購入者から受け取ることも可能です。
標準の購入画面では対応しにくい入力項目を追加できる点がメリットです。
WordPress.orgによると、有効インストール数は80,000以上（2026年10月15日確認）。
今回の脆弱性について
今回の問題は、ファイルアップロード項目に関連する削除処理の権限確認が不十分だったことによるものです。
購読者以上の権限を持つユーザーが、本来削除できないメディアライブラリ内の添付ファイルを削除できる可能性があります。商品画像やWebサイトで使用している画像などが削除された場合、表示不具合や業務への影響が考えられます。
なお、今回の問題は、ログインしていない第三者が無条件に削除できるというものではありません。
影響バージョンと対策
影響するのは7.9.6以前です。
7.9.7で修正されており、2026年10月15日時点では7.9.8が公開されています。
利用中の場合は、最新版への更新をおすすめします。更新後は、購入画面の入力項目、ファイルアップロード、注文完了処理、管理画面での添付ファイル表示を確認しましょう。
また、不審なファイル削除が発生していないか確認することも重要です。
まとめ
購入フォームのカスタマイズは、顧客の利便性を高める便利な機能です。
一方、ファイルのアップロードや削除を扱う場合は、適切な権限管理が必要になります。
プラグインの更新とともに、バックアップの取得も忘れずに行いましょう。Wordfence
公式情報： WordPress.org — Checkout Field Manager
脆弱性情報： Wordfence — CVE-2026-17031