WooCommerce向け「Visa決済プラグイン」に認証回避の脆弱性

Visa Acceptance Solutionsが提供する「WooCommerce」向け決済プラグインに深刻な脆弱性が明らかとなった。プラグインの公開が一時停止している。

メールアドレスを指定するだけで、管理者を含め、既存ユーザーになりすましてログインできる脆弱性「CVE-2026-3461」が明らかとなったもの。

メールアドレスを所有していることを確認したり、パスワードの入力、ワンタイムトークン検証なども求めないため、対象となるユーザーのメールアドレスを把握しているだけでログインでき、アカウントはもちろん、サイトの乗っ取りにつながるおそれもある。

CVE番号を採番したDefiantのWordfenceは、共通脆弱性評価システム「CVSSv3.1」のベーススコアを「9.8」、重要度は4段階でもっとも高い「クリティカル（Critical）」とレーティングしている。

修正パッチは用意されておらず、WordPress.orgのプラグインディレクトリでは、現地時間2026年4月1日より同プラグインの公開を一時停止している。Wordfenceでは、脆弱性の影響を踏まえ、代替ソフトウェアへの移行も含め、利用者に対策を検討するよう求めている。

（Security NEXT - 2026/04/23 ）ツイート