【2026年10月】WP Booking Systemに予約者情報漏えいの脆弱性｜予約メールの取り扱いに注意

予約カレンダープラグイン「WP Booking System」に、予約者の個人情報が不正に閲覧される可能性のある脆弱性が報告されました。

WP Booking Systemとは？

WP Booking Systemは、宿泊施設、貸別荘、レンタル用品など、日単位の予約を受け付けるためのプラグインです。

空き状況カレンダー、予約フォーム、予約管理、通知メールなどの機能を備えています。

電話やメールで行っていた予約受付をWebサイト上で効率化できる点がメリットです。

有効インストール数は10,000以上です。

今回の脆弱性と想定リスク

CVE-2026-108123は、予約通知メールの保存内容を取得する処理で、適切な権限確認が不足していた問題です。

悪用された場合、予約者の氏名、メールアドレス、電話番号、予約日、問い合わせ内容などが第三者に閲覧される可能性があります。

CVSSは7.5です。脆弱性情報には未認証での情報取得と購読者権限からの悪用に関する記述があり、攻撃成立条件の細部は慎重な確認が必要です。

Wordfence

影響バージョンと対策

2.1.0.3以前が対象で、2.1.0.4で修正済みです。

開発元の変更履歴にもセキュリティ改善が記載されています。

利用中の場合は更新し、予約フォーム、予約通知メール、管理画面の予約一覧、カレンダー表示などを確認してください。

また、管理者以外のユーザーに不要な予約管理権限を付与していないかも確認しましょう。

WordPress.org