Linux運用者向け、CVE問答録

2026年10月9日

CVE-2026-105193 Booking Calendarプラグインにアクセスハッシュの脆弱性

WordPressプラグイン「Booking Calendar」のバージョン11.8未満において、予約ごとのアクセスハッシュが十分なエントロピーを持たず、低エントロピーベースのタイムシ...

詳細を読む

2026年10月9日

CVE-2026-107315 PostgreSQL JDBCドライバのパディング脆弱性注意点

PostgreSQL JDBCドライバの特定バージョン（42.7.4〜42.7.13）で、データの長さが宣言値より短い場合に送信バッファ内の残りデータでパディングを行い、サーバー側に保...

詳細を読む

2026年10月9日

CVE-2026-105198 Appointment Booking Plugin 5.7.3以前情報漏洩

WordPressの「Appointment Booking Plugin」で、5.7.3以前のバージョンでは注文アイテムIDをもとに注文確認情報を表示する際、呼び出し元が該当注文を所...

詳細を読む

2026年10月9日

CVE-2026-86827 BackWPup プラグインの認証不要なバックアップ実行脆弱性

WordPressプラグイン「BackWPup」のバージョン5.7.7以前において、cronトリガーによるバックアップ実行ハンドラがリクエストの発信元をWordPressの内部スケジュ...

詳細を読む

2026年10月9日

CVE-2026-94275 WordPressプラグイン情報漏洩脆弱性

WordPressプラグイン「Track Orders for WooCommerce」のバージョン1.2.7以前では、注文の所有権を確認せずに請求情報が返されるため、認証不要で顧客の...

詳細を読む

2026年10月9日

CVE-2026-103517 Airwallexプラグインの支払い通知検証脆弱性に注意

WordPressプラグイン「Airwallex Online Payments Gateway」のバージョン1.36.0以前において、 webhook secretが設定されていない...

詳細を読む

2026年10月9日

CVE-2026-104671 TutorStarterテーマのAJAX登録脆弱性で不正アカウント作成可能

WordPressのTutorStarterテーマで、バージョン4.0.4以前においてAJAX登録処理がサイトのユーザー登録設定を無視し、ユーザー登録が無効でも未認証の訪問者がWord...

詳細を読む

2026年10月9日

CVE-2026-105190 WordPressプラグイン「Easy Digital Downloads」に無認証アカウント作成の不具合

WordPressプラグイン「Easy Digital Downloads」のバージョン3.7.1以前において、サイトのユーザー登録設定を確認せずにWordPressアカウントを作成で...

詳細を読む

2026年10月9日

CVE-2026-17538 LatePointプラグインの顧客情報変更とアカウント乗っ取り脆弱性

WordPressプラグイン「LatePoint」のバージョン5.6.9以下の脆弱性により、認証済みユーザーが他人の顧客情報を変更できる可能性があります。特に「contact_merg...

詳細を読む

2026年10月9日

CVE-2026-107449 Heimdall SSRF保護不完全に関する注意点

Linuxサーバー運用者向けに、CVE-2026-107449のリスクを要約します。脆弱性は、Heimdallの特定バージョンでSSRF保護が不完全なため、未認証攻撃者が内部ホストへの...

詳細を読む