WordPressプラグイン「Event Booking Manager for WooCommerce」にHTMLインジェクションの脆弱性（CVE-2026-

CVSS 4.7 MEDIUM 未ログインで悪用可能

対象	プラグイン Event Booking Manager for WooCommerce （Event Booking Manager for WooCommerce – Sell Tickets, Event Registration, RSVP & Event Calendar）有効インストール約 7,000 件
影響バージョン	5.7.9 以下
修正版	5.7.10
CVE	CVE-2026-116394
種類	XSS（Improper Neutralization of Input During Web Page Generation）
悪用される確率（EPSS）	0.30%（全脆弱性の上位 77%）
公表	2026年10月26日　当サイト掲載: 2026年11月2日 12:18

何が起きるか

バージョン5.7.9以前では、ログインしていない第三者がイベントのRSVP（参加申込）情報に任意のHTMLを書き込める問題があります。書き込まれた内容は管理画面や申込確認の表示に出る可能性があります。

想定される被害と条件

未ログインの第三者が、任意のイベントのRSVP参加者情報に不正なHTMLを書き込める
管理者が管理画面で参加者一覧を開いた際、偽のリンクや偽の案内文が表示され、フィッシングサイトへ誘導される恐れがある（管理者が閲覧・クリックすることが条件）
申込確認の表示に不正な内容が出て、利用者を誤解させたりサイトの信頼を損なう恐れがある
会員限定や非公開のイベントにも、偽の参加申込記録が登録される恐れがある

今日やること

Event Booking Manager for WooCommerce（mage-eventpress）を5.7.10以上に更新し、未修正のまま使う場合はRSVP機能の停止やプラグインの無効化を検討してください。

すぐに更新できない場合

すぐに更新できない場合は、イベントのRSVP（参加申込）機能を無効化するか、WAFで申込送信への不審なアクセスを制限してください。管理画面の参加者一覧に表示されるリンクはクリックしないよう注意してください。

更新後に確認すること

管理画面のイベント／RSVP参加者一覧を開き、身に覚えのない申込や、名前・項目欄に不自然なリンクや記号・HTMLが含まれる記録がないか確認する
不審な参加者記録があれば削除し、そこに含まれたリンクをクリックしていないか関係者に確認する
「ユーザー」一覧に見覚えのない管理者アカウントが追加されていないか確認する
念のため管理者のパスワードを変更し、セキュリティプラグインやサーバーのアクセスログで申込送信の大量アクセスがなかったか確認する

不審な投稿・ユーザー・ファイルが見つかった場合は、専門家への相談をおすすめします。

Event Booking Manager for WooCommerce の現在の情報（WordPress.org、2026-11-02 取得）

最新版	5.7.12 修正版を含む
対応 WordPress	5.3 以上（検証済み 7.0.8）
最終更新	2026-10-29 7:06am GMT
有効インストール	7,000+
リンク	WordPress.org のページ　公式サイト

このプラグイン、自分のサイトにも入っている？ URL を入れるだけの無料チェック →

原文（Wordfence Intelligence）

The Event Booking Manager for WooCommerce – Sell Tickets, Event Registration, RSVP & Event Calendar plugin for WordPress is vulnerable to HTML Injection in all versions up to, and including, 5.7.9. This is due to a generic, event-agnostic nonce (mep_rsvp_nonce) that any visitor could obtain from a public event page, combined with missing post-type and member-only authorization checks on the mep_submit_rsvp AJAX action before unsanitized attendee_fields POST data was stored. This makes it possible for unauthenticated attackers to inject arbitrary HTML content into RSVP attendee records of any event, which may be rendered in the administration interface or confirmation output.

参考リンク

https://www.wordfence.com/threat-intel/vulnerabilities/id/fd5d9ebc-101a-4a7d-856c-d7140084dcf5?source=api-prod

脆弱性情報の出典と著作権

脆弱性情報の出典: Wordfence Intelligence のレコード。Copyright 2012-2026 Defiant Inc. License: Defiant hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute this software vulnerability information. Any copy of the software vulnerability information you make for such purposes is authorized provided that you include a hyperlink to this vulnerability record and reproduce Defiant's copyright designation and this license in any such copy. Read more.

CVE: Copyright 1999-2026 The MITRE Corporation. CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Terms of Use.

EPSS: FIRST.org。悪用確認（KEV）: CISA。

本ページの作成について: 上記の出典データをもとに、「何が起きるか」「今日やること」「更新後に確認すること」などの日本語解説は生成 AI が作成し、サイトの主治医が随時確認しています。誤りに気づかれた場合はお問い合わせください。