WordPressプラグイン「Bot for Telegram on WooCommerce」に認証バイパスの脆弱性（CVE-2026-109516）

CVSS 9.8 CRITICAL 未ログインで悪用可能修正版なし

対象	プラグイン Bot for Telegram on WooCommerce
影響バージョン	1.3.0 以下
修正版	未修正
CVE	CVE-2026-109516
種類	認証バイパス（Improper Authentication）
悪用される確率（EPSS）	0.58%（全脆弱性の上位 53%）
公表	2026年10月28日　当サイト掲載: 2026年11月2日 12:20

何が起きるか

ログインしていない第三者が、ユーザー名さえ分かれば管理者を含む任意のユーザーとしてログインできてしまう脆弱性です。サイトの乗っ取りや顧客情報の流出につながるおそれがあります。

想定される被害と条件

管理者アカウントを乗っ取られ、サイトの改ざん、不正なプラグインの追加、マルウェアの設置が行われるおそれがあります
WooCommerce の注文情報や顧客の個人情報（氏名・住所・メールアドレス等）が閲覧・持ち出されるおそれがあります
不正なユーザーが追加されたり設定が変更されたりして、攻撃者に長期間居座られるおそれがあります
条件はプラグインが有効化されていることと、ユーザー名を知られていることだけです。ログインは不要で、Telegram ボットの設定状況に関係なく狙われる可能性があります

今日やること

Bot for Telegram on WooCommerce は 1.3.0 以前の全バージョンが影響を受け、修正版が未公開のため、今日中にプラグインを停止し、可能であれば削除してください。

すぐに更新できない場合

修正版が出るまでプラグインを無効化または削除してください。どうしても使い続ける場合は、WAF やサーバー設定で「/wp-json/woo-telegram/」と「action=bftow_create_order」へのアクセスを遮断し、あわせて管理者のユーザー名を推測されにくいものにしてください。

更新後に確認すること

管理画面「ユーザー」一覧で、身に覚えのないユーザー（特に管理者権限）が追加されていないか、既存ユーザーの権限やメールアドレスが変更されていないかを確認する
「プラグイン」「外観 > テーマ」で、見覚えのないプラグイン・テーマの追加や編集がないか、また投稿・固定ページに不審な改ざんがないかを確認する
WooCommerce の「注文」「設定（支払い・メール）」に不審な変更がないかを確認する。被害の可能性がある場合は、全管理者のパスワードを変更し、セキュリティキー（salt）を更新して既存のログイン状態を無効化する
サーバーのアクセスログで、該当する REST API や bftow_create_order への不審なアクセスがないかを確認する（保守業者に依頼可）

不審な投稿・ユーザー・ファイルが見つかった場合は、専門家への相談をおすすめします。

このプラグイン、自分のサイトにも入っている？ URL を入れるだけの無料チェック →

原文（Wordfence Intelligence）

The Bot for Telegram on WooCommerce plugin for WordPress is vulnerable to Authentication Bypass leading to Account Takeover in all versions up to, and including, 1.3.0. The `/wp-json/woo-telegram/v1/main/` REST endpoint is registered with `permission_callback => ‘__return_true’` and performs no Telegram webhook signature verification, allowing an unauthenticated attacker to POST a forged bot update with a `message.chat.id` set to any WordPress login name; `bftow_get_user_system_id()` resolves this attacker-supplied value to the targeted account via `get_user_by(‘login’, $tgId)` with no ownership proof, and writes a login token computed as `md5($_SERVER[‘HTTP_USER_AGENT’] . time())` — both inputs are fully attacker-controlled or bounded within seconds using the response’s own `Date` header. The resulting token is redeemable at the unauthenticated, capability-check-free, and nonce-less `?action=bftow_create_order&bftow_token=` endpoint, which calls `wp_set_auth_cookie()` unconditionally via `login_user_by_id`, issuing a persistent authenticated session cookie for the targeted account to the attacker. This makes it possible for unauthenticated attackers to log in as any WordPress user, including administrators, given only that user’s username.

参考リンク

https://www.wordfence.com/threat-intel/vulnerabilities/id/1f6b73e0-c154-4bc4-90bc-0929053b77b0?source=api-prod

脆弱性情報の出典と著作権

脆弱性情報の出典: Wordfence Intelligence のレコード。Copyright 2012-2026 Defiant Inc. License: Defiant hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute this software vulnerability information. Any copy of the software vulnerability information you make for such purposes is authorized provided that you include a hyperlink to this vulnerability record and reproduce Defiant's copyright designation and this license in any such copy. Read more.

CVE: Copyright 1999-2026 The MITRE Corporation. CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Terms of Use.

EPSS: FIRST.org。悪用確認（KEV）: CISA。

本ページの作成について: 上記の出典データをもとに、「何が起きるか」「今日やること」「更新後に確認すること」などの日本語解説は生成 AI が作成し、サイトの主治医が随時確認しています。誤りに気づかれた場合はお問い合わせください。