WordPressプラグイン「Media Library Assistant」にCSRF脆弱性（CVE-2026-97295）

CVSS 4.3 MEDIUM 未ログインで悪用可能

対象	プラグイン Media Library Assistant 有効インストール約 70,000 件
影響バージョン	3.42 以下
修正版	3.43
CVE	CVE-2026-97295
種類	CSRF（Cross-Site Request Forgery）
悪用される確率（EPSS）	0.12%（全脆弱性の上位 98%）
公表	2026年10月26日　当サイト掲載: 2026年11月2日 12:19

何が起きるか

Media Library Assistant 3.42以前に、管理者が細工されたリンクを開くと本人の意図しない操作が実行される脆弱性があります。サイト設定やデータの一部が変更されるおそれがあります。

想定される被害と条件

管理者の権限で、プラグインの設定やメディア関連データが意図せず変更されるおそれがある
被害が起きるのは、管理画面にログイン中の管理者が攻撃者の用意したリンクやページを開いた場合
攻撃者自身はログイン不要だが、管理者に操作させる必要があるため危険度は中程度
情報の流出やサイト停止に直接つながる可能性は低いとされる

今日やること

Media Library Assistantを3.43以上に更新し、すぐ更新できない場合は停止・削除を検討してください。

すぐに更新できない場合

更新できるまではプラグインを一時停止し、管理者はログイン中に不審なメールやメッセージのリンクを開かないようにしてください。

更新後に確認すること

管理画面「プラグイン」でMedia Library Assistantが3.43以上になっているか確認する
「設定」→「Media Library Assistant」の設定内容が意図しない値に変わっていないか確認する
「メディア」→「ライブラリ」で、身に覚えのないメディアの変更・削除や情報の書き換えがないか確認する
不審な変更があれば、保守担当者に連絡し、バックアップからの復元を検討する

不審な投稿・ユーザー・ファイルが見つかった場合は、専門家への相談をおすすめします。

Media Library Assistant の現在の情報（WordPress.org、2026-11-02 取得）

最新版	3.44 修正版を含む
対応 WordPress	5.3.0 以上（検証済み 7.1.4）
最終更新	2026-10-28 11:58pm GMT
有効インストール	70,000+
リンク	WordPress.org のページ　公式サイト

このプラグイン、自分のサイトにも入っている？ URL を入れるだけの無料チェック →

原文（Wordfence Intelligence）

The Media Library Assistant plugin for WordPress is vulnerable to Cross-Site Request Forgery in all versions up to, and including, 3.42. This is due to missing or incorrect nonce validation on a function. This makes it possible for unauthenticated attackers to perform an unauthorized action via a forged request granted they can trick a site administrator into performing an action such as clicking on a link.

参考リンク

https://www.wordfence.com/threat-intel/vulnerabilities/id/64bf69a8-7d6f-48a8-aabb-29945353cb93?source=api-prod

脆弱性情報の出典と著作権

脆弱性情報の出典: Wordfence Intelligence のレコード。Copyright 2012-2026 Defiant Inc. License: Defiant hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute this software vulnerability information. Any copy of the software vulnerability information you make for such purposes is authorized provided that you include a hyperlink to this vulnerability record and reproduce Defiant's copyright designation and this license in any such copy. Read more.

CVE: Copyright 1999-2026 The MITRE Corporation. CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Terms of Use.

EPSS: FIRST.org。悪用確認（KEV）: CISA。

本ページの作成について: 上記の出典データをもとに、「何が起きるか」「今日やること」「更新後に確認すること」などの日本語解説は生成 AI が作成し、サイトの主治医が随時確認しています。誤りに気づかれた場合はお問い合わせください。