WordPressプラグイン「WP Data Access」に情報漏えいの脆弱性（CVE-2026-110023）

CVSS 5.9 MEDIUM 未ログインで悪用可能

対象	プラグイン WP Data Access （WP Data Access – App Builder for Tables, Forms, Dashboards, Charts & Maps）有効インストール約 10,000 件
影響バージョン	5.5.88 以下
修正版	5.5.89
CVE	CVE-2026-110023
種類	情報漏えい（Missing Authorization）
悪用される確率（EPSS）	0.29%（全脆弱性の上位 78%）
公表	2026年10月31日　当サイト掲載: 2026年11月2日 12:21

何が起きるか

WP Data Access 5.5.88以前では、匿名公開されたアプリの元になっているデータベースの内容を、ログインしていない第三者が取得できるおそれがあります。ユーザーのメールアドレスやパスワード情報が漏れる可能性があります。

想定される被害と条件

匿名公開されたアプリの元テーブルにある全データが第三者に読み取られるおそれがあります
WordPressユーザーのパスワードハッシュ、メールアドレス、パスワード再設定用キーが漏れる可能性があります
漏れた再設定キーやパスワード情報を使われ、管理者アカウントを乗っ取られる危険があります
管理者が REST API の認可を「anonymous（匿名）」にしたアプリを1つ以上公開している場合に起こります。これは一般公開用アプリでは標準的な設定です
攻撃にはログインが不要ですが、成功には一定の条件がそろう必要があります

今日やること

WP Data Access を 5.5.89 以上に今日中に更新し、すぐに更新できない場合は匿名公開しているアプリの公開停止かプラグインの停止を検討してください。

すぐに更新できない場合

WP Data Access で公開しているアプリの REST API 認可設定を「anonymous」以外に変更するか、アプリの公開を一時的に停止してください。それが難しい場合は、プラグインを停止するか WAF で該当プラグインへの不審なリクエストを遮断してください。

更新後に確認すること

管理画面「ユーザー」一覧を開き、身に覚えのない管理者や新しいユーザーが追加されていないか確認する
念のため全管理者のパスワードを変更し、パスワード再設定メールが意図せず送られていないかも確認する
ログイン履歴や通知メール（セキュリティプラグイン等）で、見覚えのない場所や時間からのログインが無いか確認する
WP Data Access の公開アプリ一覧で、匿名公開になっているアプリと、その元テーブルに個人情報が含まれていないか確認する

不審な投稿・ユーザー・ファイルが見つかった場合は、専門家への相談をおすすめします。

WP Data Access の現在の情報（WordPress.org、2026-11-02 取得）

最新版	5.5.90 修正版を含む
対応 WordPress	-（検証済み 7.1.4）
最終更新	2026-10-28 6:01pm GMT
有効インストール	10,000+
リンク	WordPress.org のページ　公式サイト

このプラグイン、自分のサイトにも入っている？ URL を入れるだけの無料チェック →

原文（Wordfence Intelligence）

The WP Data Access – App Builder for Tables, Forms, Dashboards, Charts & Maps plugin for WordPress is vulnerable to Sensitive Information Exposure in all versions up to, and including, 5.5.88 via the ‘rel_tab’ parameter. This makes it possible for unauthenticated attackers to extract every row and column of the underlying database table backing any anonymously published app, including WordPress user password hashes, email addresses, and password-reset keys from wp_users. Exploitation requires that an administrator has published at least one app with its REST API authorization set to ‘anonymous’, which is the standard configuration for publicly embedded apps.

参考リンク

https://www.wordfence.com/threat-intel/vulnerabilities/id/36ffa22b-43d0-48aa-8147-db0a9c49a7b9?source=api-prod

脆弱性情報の出典と著作権

脆弱性情報の出典: Wordfence Intelligence のレコード。Copyright 2012-2026 Defiant Inc. License: Defiant hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute this software vulnerability information. Any copy of the software vulnerability information you make for such purposes is authorized provided that you include a hyperlink to this vulnerability record and reproduce Defiant's copyright designation and this license in any such copy. Read more.

CVE: Copyright 1999-2026 The MITRE Corporation. CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Terms of Use.

EPSS: FIRST.org。悪用確認（KEV）: CISA。

本ページの作成について: 上記の出典データをもとに、「何が起きるか」「今日やること」「更新後に確認すること」などの日本語解説は生成 AI が作成し、サイトの主治医が随時確認しています。誤りに気づかれた場合はお問い合わせください。