「WooCommerce」旧版にRCE脆弱性 - 実証コードも

WordPress環境にeコマース機能を追加するプラグイン「WooCommerce」の旧版に関する脆弱性が公表された。リモートより任意のPHPコードを実行されるおそれがある。

「同7.1.0」および以前のバージョンが影響を受ける「CVE-2022-50972」が公表された。CVE番号を割り当てたVulnCheckが現地時間2026年6月20日にアドバイザリを公開。米国立標準技術研究所（NIST）の脆弱性データベース「NVD」にも同日、情報が追加されている。

パラメータの処理に起因するコードインジェクションの脆弱性とされており、細工したリクエストによって外部よりシェルコマンドを注入し、任意のコードを実行できるという。

同脆弱性に関連する実証コードも、現地時間2023年3月31日に公開されているが、当時はCVE番号が割り当てられていなかった。

共通脆弱性評価システム「CVSSv4.0」のベーススコアは「9.3」、「CVSSv3.1」では「9.8」と評価されており、重要度は4段階中もっとも高い「クリティカル（Critical）」とレーティングされている。

その後「WooCommerce」に関してはアップデートを重ねており、2026年6月20日の段階で現地時間2026年5月27日に公開された「10.8.1」が最新版となっている。

（Security NEXT - 2026/06/22 ）ツイート