「TrueBooker」の脆弱性 CVE-2026-16142: アクセス制御の不備 (IDOR)

どんな危険があるか

WordPress用プラグイン「TrueBooker – Appointment Booking and Scheduler System」には、認証されていない攻撃者が任意のWordPressアカウントを乗っ取ることができる脆弱性が存在します。この脆弱性は、add_front_user_update() AJAXハンドラが認証なしで利用でき、truebooker_wp_user_idパラメータの検証をせずにwp_update_user()を呼び出すことに起因します。攻撃者はこれを利用して管理者を含む任意のユーザーのメールアドレスを変更し、パスワードリセット機能を通じてアカウントを完全に掌握することが可能です。

今すぐやること

WordPressの運用者は、TrueBookerプラグインのバージョンが1.2.6以下である場合、速やかにベンダーが提供する修正版にアップデートしてください。修正版が利用可能かどうかは、Wordfenceの脅威インテリジェンスサイトやプラグインの公式リポジトリで確認できます。アップデートが完了するまでの間は、プラグインを一時的に無効化するか、アクセス制御を厳格化するなどの対策を検討してください。