WordPressプラグイン「Germanized for WooCommerce」に情報漏えいの脆弱性（CVE-2026-109231）

CVSS 4.3 MEDIUM

対象	プラグイン Germanized for WooCommerce 有効インストール約 70,000 件
影響バージョン	4.1.4 以下
修正版	4.1.5
CVE	CVE-2026-109231
種類	情報漏えい（Improper Enforcement of Behavioral Workflow）
悪用される確率（EPSS）	0.37%（全脆弱性の上位 69%）
公表	2026年10月31日　当サイト掲載: 2026年11月2日 12:21

何が起きるか

有効化前の顧客アカウントの認証用リンクが使い回せる不備により、他人のゲスト注文が攻撃者のアカウントに紐づけられる恐れがあります。その結果、購入者の氏名・住所・電話番号・購入商品が第三者に見られる可能性があります。

想定される被害と条件

ゲスト購入者の氏名・住所・電話番号・購入商品が第三者に閲覧される
ゲスト注文が本来の購入者ではない会員アカウントに紐づけられてしまう
条件: 誰でも会員登録できる設定になっていること
条件: ダブルオプトイン（登録確認メール）が有効で、「未有効化の顧客のログインを無効にする」が「いいえ」になっていること（初期設定ではない）
条件: 攻撃者が購読者以上の会員アカウントを持ち、有効化リンクの期限（1日）内であること

今日やること

Germanized for WooCommerce を 4.1.5 以上に更新してください。すぐ更新できない場合は下記の回避策を検討してください。

すぐに更新できない場合

Germanized の設定で「未有効化の顧客のログインを無効にする」を「はい」にするか、一般からの会員登録を一時的に停止してください。

更新後に確認すること

WooCommerce＞注文で、ゲスト注文だったものが心当たりのない会員アカウントに紐づいていないか確認する
ユーザー一覧で、最近登録されメールアドレスが変更された不審な顧客アカウントがないか確認する
不審な紐づけがあれば注文の顧客を元に戻し、該当アカウントを停止・削除して、必要に応じて購入者へ連絡する

不審な投稿・ユーザー・ファイルが見つかった場合は、専門家への相談をおすすめします。

Germanized for WooCommerce の現在の情報（WordPress.org、2026-11-02 取得）

最新版	4.1.6 修正版を含む
対応 WordPress	5.4 以上（検証済み 7.1.4）
最終更新	2026-10-20 1:52pm GMT
有効インストール	70,000+
リンク	WordPress.org のページ　公式サイト

このプラグイン、自分のサイトにも入っている？ URL を入れるだけの無料チェック →

原文（Wordfence Intelligence）

The Germanized for WooCommerce plugin for WordPress is vulnerable to Unauthorized Access of Private Data via Activation Token Reuse in versions up to, and including, 4.1.4. This is due to the `on_user_email_changed` hook — which is responsible for rotating the activation token and recording a pending-email-change marker on an unactivated Customer account — only being registered inside the `is_double_opt_in_login_enabled()` branch when “Disable login for unactivated customers” is set to Yes, leaving the original `?activate=` token valid and entirely unbound to the email address it was issued for when that setting is No. This makes it possible for authenticated attackers, with Subscriber-level access and above, to change their account email to a victim’s billing email via the standard `/my-account/edit-account/` form and then redeem their original activation token through `customer_account_activate()`, triggering `link_customer_past_orders()` to reassign any matching guest order to the attacker’s account and exposing the original buyer’s billing name, street address, phone number, and purchased items on the attacker’s My Account order page. Exploitation requires the site to have double opt-in enabled with “Disable login for unactivated customers” explicitly set to No (a non-default configuration), public customer registration enabled, and the original activation token redeemed within its one-day expiry window.

参考リンク

https://www.wordfence.com/threat-intel/vulnerabilities/id/b661e8d7-c50e-4cbf-86a8-3e44d7b61871?source=api-prod

脆弱性情報の出典と著作権

脆弱性情報の出典: Wordfence Intelligence のレコード。Copyright 2012-2026 Defiant Inc. License: Defiant hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute this software vulnerability information. Any copy of the software vulnerability information you make for such purposes is authorized provided that you include a hyperlink to this vulnerability record and reproduce Defiant's copyright designation and this license in any such copy. Read more.

CVE: Copyright 1999-2026 The MITRE Corporation. CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Terms of Use.

EPSS: FIRST.org。悪用確認（KEV）: CISA。

本ページの作成について: 上記の出典データをもとに、「何が起きるか」「今日やること」「更新後に確認すること」などの日本語解説は生成 AI が作成し、サイトの主治医が随時確認しています。誤りに気づかれた場合はお問い合わせください。