「Confection WordPress Cable」の脆弱性 CVE-2026-115252: コードインジェクション

CVE ID	CVE-2026-115252
対象製品	Confection WordPress Cable (Unknown)
影響バージョン	0.4.0 〜 <= 0.4.7 (affected)
CVSS	10.0 / 10 (緊急) CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
CWE	CWE-94 (コードインジェクション)
公開日	2026年11月9日
更新日	2026年11月9日

CVE ID

CVE-2026-115252

対象製品

Confection WordPress Cable (Unknown)

影響バージョン

0.4.0 〜 <= 0.4.7 (affected)

CVSS

10.0 / 10 (緊急)

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H

CWE

CWE-94 (コードインジェクション)

公開日

2026年11月9日

更新日

2026年11月9日

どんな危険があるか

Confection WordPress Cable プラグインのバージョン 0.4.0 から 0.4.7 には、認証されていないユーザーが任意のPHPコードを実行できる深刻な脆弱性があります。このプラグインは、設定を保存する際に権限チェックやnonceチェックを全く行わず、設定値を未修正のまま独立したPHPファイルに書き込み、それをサーバーが提供してしまいます。これにより、認証されていない攻撃者が設定を操作し、サーバー上で任意のコードを実行することが可能となります。

今すぐやること

Confection WordPress Cable プラグインのバージョン 0.4.0 から 0.4.7 を使用している場合は、この脆弱性により認証なしでのリモートコード実行の危険性があるため、直ちに使用を中止するか、ベンダーアドバイザリを確認して修正版が提供されているかを確認してください。ベンダーからの正式なアナウンスや修正パッチが利用可能になり次第、速やかに適用することが不可欠です。

本ページの情報は公開時点 (2026年11月10日) のものです。最新情報は上記の出典を確認してください。

本ページは CVE Program のデータを含みます。CVE および関連するロゴは MITRE Corporation の商標です。CVE レコードは CVE Terms of Use に基づき再構成・掲載しています。

脆弱性データの一部は採番機関 (CNA) 「WPScan」のアドバイザリを出典としています。データは db.gcve.eu (CIRCL / GCVE) 経由で取得しました。