CVSS 4.3 MEDIUM
| 対象 | プラグイン AI ChatBot for WooCommerce （AI ChatBot for WooCommerce – WoowBot） 有効インストール約 1,000 件 |
|---|---|
| 影響バージョン | 5.0.0 以下 |
| 修正版 | 5.0.1 |
| CVE | CVE-2026-111372 |
| 種類 | 認証バイパス（Missing Authorization） |
| 悪用される確率（EPSS） | 0.27%（全脆弱性の上位 81%） |
| 公表 | 2026年10月28日 当サイト掲載: 2026年11月2日 12:19 |
何が起きるか
購読者などログイン済みの一般ユーザーが、本来管理者だけが行えるAI用文書同期処理を繰り返し実行できる不具合です。サイト管理者のAI APIキーで有料APIが呼ばれ、利用料金が不正に消費される恐れがあります。
想定される被害と条件
- 購読者以上のアカウントを持つ者により、OpenAI・Gemini・OpenRouter・xAIの有料API（埋め込み処理）が繰り返し呼ばれる
- 管理者が登録したAPIキーに課金され、AIのクレジット残高が枯渇・高額請求が発生する
- クレジット枯渇によりチャットボットなどAI機能が停止する可能性
- 会員登録を誰でもできるサイトほど悪用されやすい
今日やること
「AI ChatBot for WooCommerce – WoowBot」を5.0.1以上に更新し、未修正のまま使う場合は停止・削除を検討してください。
すぐに更新できない場合
すぐ更新できない場合は、プラグインを一時停止するか、設定からAPIキーを削除し、AIサービス側で利用上限（予算上限）を設定してください。不要なら新規ユーザー登録も一時停止してください。
更新後に確認すること
- OpenAI・Gemini・OpenRouter・xAIの管理画面で、API利用量や請求額に不自然な急増がないか確認する
- 念のためAIサービス側でAPIキーを再発行し、プラグイン設定を新しいキーに更新する
- WordPressの「ユーザー」一覧で、見覚えのない購読者アカウントが増えていないか確認する
- 利用量の上限・アラート通知をAIサービス側で設定する
不審な投稿・ユーザー・ファイルが見つかった場合は、専門家への相談をおすすめします。
AI ChatBot for WooCommerce の現在の情報 （WordPress.org、2026-11-02 取得）
| 最新版 | 5.0.3 修正版を含む |
|---|---|
| 対応 WordPress | 5.3 以上（検証済み 7.1.4） |
| 最終更新 | 2026-10-27 2:10pm GMT |
| 有効インストール | 1,000+ |
| リンク | WordPress.org のページ 公式サイト |
原文（Wordfence Intelligence）
The AI ChatBot for WooCommerce – WoowBot plugin for WordPress is vulnerable to authorization bypass in all versions up to, and including, 5.0.0. This is due to the plugin not properly verifying that a user is authorized to perform an action. This makes it possible for authenticated attackers, with subscriber-level access and above, to repeatedly trigger RAG document sync operations that issue paid embedding API calls to OpenAI, Gemini, OpenRouter, or xAI charged to the site administrator’s stored API key, draining their AI API credits and causing financial loss. The wp_chatbot nonce required to reach this endpoint is emitted to every authenticated frontend visitor via wp_localize_script, making it trivially obtainable by any subscriber-level account.
参考リンク
脆弱性情報の出典と著作権
脆弱性情報の出典: Wordfence Intelligence のレコード。Copyright 2012-2026 Defiant Inc. License: Defiant hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute this software vulnerability information. Any copy of the software vulnerability information you make for such purposes is authorized provided that you include a hyperlink to this vulnerability record and reproduce Defiant's copyright designation and this license in any such copy. Read more.
CVE: Copyright 1999-2026 The MITRE Corporation. CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Terms of Use.
本ページの作成について: 上記の出典データをもとに、「何が起きるか」「今日やること」「更新後に確認すること」などの日本語解説は生成 AI が作成し、サイトの主治医が随時確認しています。誤りに気づかれた場合はお問い合わせください。
最近公表された深刻度の高い脆弱性
- WordPressプラグイン「s2Member」にリモートコード実行の脆弱性（CVE-2026-86596） 2026/11/02
- WordPressプラグイン「Ultra Addons for Contact Form 7」に任意ファイル削除の脆弱性（CVE-2026-102435） 2026/11/02
- WordPressプラグイン「NextGEN Gallery」にリモートコード実行の脆弱性（CVE-2026-76010） 2026/10/31
- WordPressプラグイン「Debug Log Manager」にXSSの脆弱性（CVE-2026-120114） 2026/10/31
- WordPressプラグイン「WP Directory Kit」にSQLインジェクションの脆弱性（CVE-2026-109197） 2026/10/31
