WordPressプラグイン「Post Snippets」にXSSの脆弱性（CVE-2026-77871）

CVSS 6.4 MEDIUM

対象	プラグイン Post Snippets （Post Snippets – Custom WordPress Code Snippets Customizer）
影響バージョン	4.2.4 以下
修正版	4.2.5
CVE	CVE-2026-77871
種類	XSS（Improper Neutralization of Input During Web Page Generation）
悪用される確率（EPSS）	0.24%（全脆弱性の上位 85%）
公表	2026年10月28日　当サイト掲載: 2026年11月2日 12:19

何が起きるか

Post Snippets 4.2.4以前では、投稿者権限（寄稿者）以上のユーザーがページに不正なスクリプトを仕込める恐れがあります。そのページを閲覧した訪問者や管理者のブラウザ上でスクリプトが実行される可能性があります。

想定される被害と条件

細工されたページを開いた訪問者が、偽サイトへの誘導や不正な表示などの被害を受ける可能性がある
管理者がそのページを開くと、管理者の権限で設定変更や不正なユーザー追加が行われる恐れがある
悪用には寄稿者以上の権限を持つアカウントが必要（外部の人に投稿権限を与えているサイトや、アカウントを乗っ取られた場合に危険が高い）
プラグインのスニペット用ショートコード機能が有効になっていることが条件

今日やること

Post Snippetsを4.2.5以上に更新し、すぐ更新できない場合は停止・削除を検討してください。

すぐに更新できない場合

Post Snippetsの設定でスニペットのショートコード機能を無効化するか、プラグインを一時停止してください。あわせて、不要な寄稿者以上のアカウントを削除・停止してください。

更新後に確認すること

管理画面「ユーザー」で、見覚えのない管理者や寄稿者以上のアカウントが追加されていないか確認する
「投稿」「固定ページ」の一覧で、寄稿者などが最近作成・編集した記事に不審なショートコードや意味不明な文字列が含まれていないか確認する
「Post Snippets」の管理画面で、身に覚えのないスニペットや内容の変更がないか確認する
サイトを閲覧して、意図しない別サイトへの転送やポップアップ表示が起きないか確認する

不審な投稿・ユーザー・ファイルが見つかった場合は、専門家への相談をおすすめします。

このプラグイン、自分のサイトにも入っている？ URL を入れるだけの無料チェック →

原文（Wordfence Intelligence）

The Post Snippets – Custom WordPress Code Snippets Customizer plugin for WordPress is vulnerable to Stored Cross-Site Scripting via Shortcode Attributes in all versions up to, and including, 4.2.4 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with contributor-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. Entity-encoded payloads such as <script>…</script> survive WordPress’s wp_kses_post on-save sanitization because kses does not decode HTML entities, and are only converted back into executable HTML tags at render time by the plugin’s own shortcode filter. This requires snippet shortcodes to be enabled.

参考リンク

https://www.wordfence.com/threat-intel/vulnerabilities/id/a46c37f4-245d-423f-bdad-296fdf377ecc?source=api-prod

脆弱性情報の出典と著作権

脆弱性情報の出典: Wordfence Intelligence のレコード。Copyright 2012-2026 Defiant Inc. License: Defiant hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute this software vulnerability information. Any copy of the software vulnerability information you make for such purposes is authorized provided that you include a hyperlink to this vulnerability record and reproduce Defiant's copyright designation and this license in any such copy. Read more.

CVE: Copyright 1999-2026 The MITRE Corporation. CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Terms of Use.

EPSS: FIRST.org。悪用確認（KEV）: CISA。

本ページの作成について: 上記の出典データをもとに、「何が起きるか」「今日やること」「更新後に確認すること」などの日本語解説は生成 AI が作成し、サイトの主治医が随時確認しています。誤りに気づかれた場合はお問い合わせください。