WordPressプラグイン「Recipe Card Blocks Lite」にSQLインジェクションの脆弱性（CVE-2026-115281）

CVSS 6.5 MEDIUM

対象	プラグイン Recipe Card Blocks Lite 有効インストール約 10,000 件
影響バージョン	3.5.0 〜 3.6.3
修正版	3.6.4
CVE	CVE-2026-115281
種類	SQLインジェクション（Improper Neutralization of Special Elements used in an SQL Command）
悪用される確率（EPSS）	0.30%（全脆弱性の上位 78%）
公表	2026年10月28日　当サイト掲載: 2026年11月2日 12:20

何が起きるか

投稿者（Contributor）以上の権限を持つユーザーが、データベースに不正な命令を紛れ込ませられる不具合です。会員情報やパスワードのハッシュなど、データベース内の機密情報を盗み出される恐れがあります。

想定される被害と条件

データベース内のユーザー情報（メールアドレス、パスワードのハッシュ値など）が読み取られる恐れがある
盗まれた情報をもとに、管理者アカウントの乗っ取りなど二次被害につながる可能性がある
被害が起きる条件は、投稿者（Contributor）以上の権限を持つアカウントが攻撃者の手にあること（外部寄稿者の受け入れ、会員登録の開放、パスワード流出などが該当）
データの改ざんやサイト停止は想定されていないが、情報漏えいの影響は大きい

今日やること

Recipe Card Blocks Lite を 3.6.4 以上に更新し、すぐに更新できない場合はプラグインの停止・削除を検討してください。

すぐに更新できない場合

更新できるまで Recipe Card Blocks Lite を停止し、不要な投稿者以上のアカウントを削除または権限を下げてください。可能であれば WAF（Wordfence などのセキュリティプラグインやサーバーのWAF機能）を有効にしてください。

更新後に確認すること

管理画面の「ユーザー」一覧で、見覚えのない投稿者以上のアカウントや最近権限が変更されたアカウントがないか確認する
管理者を含む全ユーザーのパスワードを変更し、念のため他サービスでの使い回しもやめる
セキュリティプラグインやサーバーのアクセスログで、投稿者アカウントによる不審なアクセスや大量のリクエストがないか確認する
最近の不審なログイン履歴（見知らぬ場所・時間帯からのログイン）がないか確認する

不審な投稿・ユーザー・ファイルが見つかった場合は、専門家への相談をおすすめします。

Recipe Card Blocks Lite の現在の情報（WordPress.org、2026-11-02 取得）

最新版	3.6.4 修正版を含む
対応 WordPress	6.5 以上（検証済み 7.1.4）
最終更新	2026-10-22 11:26am GMT
有効インストール	10,000+
リンク	WordPress.org のページ　公式サイト

このプラグイン、自分のサイトにも入っている？ URL を入れるだけの無料チェック →

原文（Wordfence Intelligence）

The Recipe Card Blocks Lite plugin for WordPress is vulnerable to SQL Injection in versions 3.5.0 through 3.6.3. This is due to insufficient escaping on the user supplied parameter and lack of sufficient preparation on the existing SQL query. This makes it possible for authenticated attackers, with contributor-level access and above, to append additional SQL queries into already existing queries that can be used to extract sensitive information from the database.

参考リンク

https://www.wordfence.com/threat-intel/vulnerabilities/id/ed5cabb3-161d-46cb-9e1f-34e189a831cd?source=api-prod

脆弱性情報の出典と著作権

脆弱性情報の出典: Wordfence Intelligence のレコード。Copyright 2012-2026 Defiant Inc. License: Defiant hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute this software vulnerability information. Any copy of the software vulnerability information you make for such purposes is authorized provided that you include a hyperlink to this vulnerability record and reproduce Defiant's copyright designation and this license in any such copy. Read more.

CVE: Copyright 1999-2026 The MITRE Corporation. CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Terms of Use.

EPSS: FIRST.org。悪用確認（KEV）: CISA。

本ページの作成について: 上記の出典データをもとに、「何が起きるか」「今日やること」「更新後に確認すること」などの日本語解説は生成 AI が作成し、サイトの主治医が随時確認しています。誤りに気づかれた場合はお問い合わせください。