WordPressプラグイン「WooCommerce Extra Product Options Pro」にXSSの脆弱性（CVE-2026-104926）

CVSS 6.1 MEDIUM 未ログインで悪用可能

対象	プラグイン WooCommerce Extra Product Options Pro
影響バージョン	3.3.2 以下
修正版	3.3.3
CVE	CVE-2026-104926
種類	XSS（Improper Neutralization of Input During Web Page Generation）
悪用される確率（EPSS）	0.27%（全脆弱性の上位 81%）
公表	2026年10月31日　当サイト掲載: 2026年11月2日 12:21

何が起きるか

細工されたリンクを開くと、商品ページ上で攻撃者の用意したスクリプトが閲覧者のブラウザで実行される恐れがあります。ログイン不要で狙えますが、日付・時刻範囲の入力欄を設定した商品ページに限られます。

想定される被害と条件

細工されたリンクを開いた閲覧者のブラウザで、不正なスクリプトが実行される恐れがあります
管理者がログインしたままリンクを開くと、管理者の権限で設定変更などの操作をされる恐れがあります
偽の入力フォームの表示や外部サイトへの誘導により、顧客情報が盗まれる恐れがあります
被害が起きるのは、「Date & Time Range Picker」の追加項目を設定した商品ページがあり、利用者がリンクを開いた場合です

今日やること

WooCommerce Extra Product Options Pro を 3.3.3 以上に更新し、未修正のままなら日付・時刻範囲の入力欄の無効化やプラグインの停止を検討してください。

すぐに更新できない場合

更新するまでは、商品ページの「Date & Time Range Picker」追加項目を一時的に外すかプラグインを停止し、可能であればWAFでXSS対策を有効にしてください。管理者はログイン中に、出所の分からないリンクを開かないようにしてください。

更新後に確認すること

管理画面の「ユーザー」を開き、見覚えのない管理者アカウントが追加されていないか確認する
「プラグイン」と「設定」を開き、身に覚えのないプラグインの追加や設定変更がないか確認する
商品ページを表示し、見慣れない入力欄やポップアップ、外部サイトへの転送が起きていないか確認する
サーバーのアクセスログで、商品ページへのアクセスのうち、URLに不審な文字列を含むものがないか確認する

不審な投稿・ユーザー・ファイルが見つかった場合は、専門家への相談をおすすめします。

このプラグイン、自分のサイトにも入っている？ URL を入れるだけの無料チェック →

原文（Wordfence Intelligence）

The WooCommerce Extra Product Options Pro plugin for WordPress is vulnerable to Reflected Cross-Site Scripting via the ‘_start / _end’ parameter in all versions up to, and including, 3.3.2 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that execute if they can successfully trick a user into performing an action such as clicking on a link. This vulnerability is only exploitable on product pages where a Date & Time Range Picker extra field is configured, though the required field name is visible in the product page source and requires no prior knowledge to discover.

参考リンク

https://www.wordfence.com/threat-intel/vulnerabilities/id/d7199a4e-5811-4860-911b-b5d3fda24e16?source=api-prod

脆弱性情報の出典と著作権

脆弱性情報の出典: Wordfence Intelligence のレコード。Copyright 2012-2026 Defiant Inc. License: Defiant hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute this software vulnerability information. Any copy of the software vulnerability information you make for such purposes is authorized provided that you include a hyperlink to this vulnerability record and reproduce Defiant's copyright designation and this license in any such copy. Read more.

CVE: Copyright 1999-2026 The MITRE Corporation. CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Terms of Use.

EPSS: FIRST.org。悪用確認（KEV）: CISA。

本ページの作成について: 上記の出典データをもとに、「何が起きるか」「今日やること」「更新後に確認すること」などの日本語解説は生成 AI が作成し、サイトの主治医が随時確認しています。誤りに気づかれた場合はお問い合わせください。