WR 株式会社WR 松戸のホームページ制作・社内システム・IT相談

株式会社WR

千葉県松戸市
松戸・柏・市川・流山・船橋 対応

ホーム›脆弱性情報›WordPressプラグイン›CVE-2026-87838

警告 CVSS 6.5 WordPressプラグイン CVE-2026-87838 公表 2026年10月21日

Wava Payment Plugin に支払い設定を書き換えられる脆弱性

Wava Payment Plugin — CVE-2026-87838

自分のサイトが該当するか無料診断 → 原文を見る（NVD（米国 脆弱性データベース））↗

どんな問題か

公開APIの確認が足りず、第三者が支払い先の情報を書き換えられる問題です。店舗側の設定を勝手に変えられ、決済連携が崩れるおそれがあります。

放置するとどうなるか

支払い方法が使えなくなったり、意図しない相手に決済が紐づいたりするおそれがあります。購入手続きに支障が出る可能性があります。

今すぐやること

0.3.10 へ更新してください。決済設定と連携状態を確認し、異常があれば保守会社に連絡しましょう。

自分のサイトが該当するかの確認手順

  1. WordPressの管理画面にログインし、左メニュー「プラグイン」（またはテーマ）に Wava Payment Plugin があるか確認します。
  2. あれば、バージョン番号を見て「0.3.10 より前」に当てはまるか確認します。
  3. 当てはまる場合は「更新」ボタンで修正版へ。使っていないプラグインなら削除します。更新ボタンが出ない・怖くて押せない場合は、保守会社か当社へご相談ください。
原文（英語）を表示
The Wava Payment Plugin WordPress plugin before 0.3.10 does not perform any authorisation, nonce or origin verification on one of its public REST endpoints, allowing unauthenticated attackers to overwrite the stored credential that identifies the merchant account the store's payments are created against, to force the integration into a verified state the site owner never completed, and to remove the payment method from the store's checkout.

※ 解説は NVD（米国 脆弱性データベース） の公表内容をもとにAIが生成しています。対象バージョン・修正版などの正確な情報は、必ず原文をご確認ください。

無料で相談する →