WordPressプラグイン「Product Designer for WooCommerce WordPress | Lumise」に任意（CVE-2026-

CVSS 7.5 HIGH 未ログインで悪用可能修正版なし

対象	プラグイン Product Designer for WooCommerce WordPress （Product Designer for WooCommerce WordPress \| Lumise）
影響バージョン	2.1.2 以下
修正版	未修正
CVE	CVE-2026-15323
種類	任意ファイル操作（Improper Limitation of a Pathname to a Restricted Directory）
悪用される確率（EPSS）	0.86%（全脆弱性の上位 41%）
公表	2026年10月28日　当サイト掲載: 2026年11月2日 12:19

何が起きるか

Lumise 2.1.2以前には、ログインしていない第三者がサーバー上の任意のファイルの中身を読み取れる脆弱性があります。設定ファイルのデータベース接続情報などの機密情報が漏れるおそれがあります。

想定される被害と条件

wp-config.php などの設定ファイルが読まれ、データベースのパスワードや認証用の秘密鍵が漏えいする（プラグインが有効化されていれば未ログインでも発生）
漏れたデータベース情報を使われ、顧客情報や注文情報が盗まれる、またはサイトが乗っ取られる（データベースが外部から接続可能な場合など）
サーバー上のバックアップファイルやログ、他の設定ファイルの中身が外部に知られる（ウェブサーバーの権限で読めるファイルが対象）
漏えいした秘密鍵を悪用され、ログイン状態の偽装など二次被害につながる

今日やること

修正版が未公開のため、Lumiseプラグインを今すぐ停止し、不要であれば削除を検討してください。

すぐに更新できない場合

Lumiseプラグインを無効化してください。業務上すぐに止められない場合は、WAFで「?lumise=cart」や「?lumise=ajax」へのアクセスに含まれる「../」などの不審な文字列を遮断するよう設定してください。

更新後に確認すること

サーバーのアクセスログで「lumise=cart」「lumise=ajax」へのアクセスや、「../」「wp-config」を含む不審なリクエストがないか確認する
読まれた可能性がある場合は、データベースのパスワードとwp-config.phpの認証キー（ソルト）を変更し、全ユーザーを再ログインさせる
管理画面の「ユーザー」に見覚えのない管理者アカウントが追加されていないか確認する
データベースへの不審な接続や、注文・顧客データの不審な変更・持ち出しがないかをホスティング会社の管理画面などで確認する

不審な投稿・ユーザー・ファイルが見つかった場合は、専門家への相談をおすすめします。

このプラグイン、自分のサイトにも入っている？ URL を入れるだけの無料チェック →

原文（Wordfence Intelligence）

The Product Designer for WooCommerce WordPress | Lumise plugin for WordPress is vulnerable to Directory Traversal in all versions up to, and including, 2.1.2 via the process_checkout function. This makes it possible for unauthenticated attackers to read the contents of arbitrary files on the server, which can contain sensitive information. The lumise_security nonce required to reach the vulnerable /?lumise=cart endpoint is freely obtainable by any unauthenticated visitor via the /?lumise=ajax action=init handler, making this exploitable with no prior access or credentials.

参考リンク

https://www.wordfence.com/threat-intel/vulnerabilities/id/a4a1fb57-84b2-4849-a4d5-9381baf43ff5?source=api-prod

脆弱性情報の出典と著作権

脆弱性情報の出典: Wordfence Intelligence のレコード。Copyright 2012-2026 Defiant Inc. License: Defiant hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute this software vulnerability information. Any copy of the software vulnerability information you make for such purposes is authorized provided that you include a hyperlink to this vulnerability record and reproduce Defiant's copyright designation and this license in any such copy. Read more.

CVE: Copyright 1999-2026 The MITRE Corporation. CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Terms of Use.

EPSS: FIRST.org。悪用確認（KEV）: CISA。

本ページの作成について: 上記の出典データをもとに、「何が起きるか」「今日やること」「更新後に確認すること」などの日本語解説は生成 AI が作成し、サイトの主治医が随時確認しています。誤りに気づかれた場合はお問い合わせください。