WordPressプラグイン「Related Posts for WordPress」に情報漏えいの脆弱性（CVE-2026-109979）

CVSS 4.3 MEDIUM

対象	プラグイン Related Posts for WordPress 有効インストール約 10,000 件
影響バージョン	3.0.0 以下
修正版	3.0.1
CVE	CVE-2026-109979
種類	情報漏えい（Missing Authorization）
悪用される確率（EPSS）	0.30%（全脆弱性の上位 78%）
公表	2026年10月28日　当サイト掲載: 2026年11月2日 12:19

何が起きるか

バージョン3.0.0以前では、投稿者（寄稿者）権限以上のユーザーが、他のユーザーの非公開投稿のタイトルを見られる恐れがあります。本文は漏れませんが、下書きや予約投稿などのタイトルが閲覧される可能性があります。

想定される被害と条件

寄稿者以上の権限を持つユーザーが、管理者や編集者の下書き・レビュー待ち・非公開・予約・ゴミ箱の投稿のタイトルを閲覧できる
未発表の企画、新商品名、社内向け情報などがタイトルから外部に漏れる恐れがある
投稿本文や個人情報そのものが漏れるわけではなく、サイトの改ざんも起こらない
寄稿者などのアカウントを第三者に発行しているサイトや、アカウントが乗っ取られた場合に被害が起きやすい

今日やること

Related Posts for WordPressを3.0.1以上に更新し、すぐに更新できない場合はプラグインの停止を検討してください。

すぐに更新できない場合

更新できるまでプラグインを停止するか、信頼できないユーザーの寄稿者以上のアカウントを一時的に無効化してください。

更新後に確認すること

管理画面の「ユーザー」で、寄稿者以上の権限を持つアカウントに見覚えのないものがないか確認する
寄稿者などが作成した下書きを開き、「関連記事」欄に無関係な非公開投稿へのリンクが登録されていないか確認する
不審なリンクが見つかった場合は削除し、該当アカウントのパスワード変更や権限の見直しを行う

不審な投稿・ユーザー・ファイルが見つかった場合は、専門家への相談をおすすめします。

最新版	3.0.1 修正版を含む
対応 WordPress	6.8 以上（検証済み 7.1.4）
最終更新	2026-10-20 9:18pm GMT
有効インストール	10,000+
リンク	WordPress.org のページ　公式サイト

原文（Wordfence Intelligence）

The Related Posts for WordPress plugin for WordPress is vulnerable to Sensitive Information Exposure in versions up to, and including, 3.0.0 via the ‘rp4wp_create_link’ parameter of the hidden ‘rp4wp_link_related’ admin page. The handle_create_link() handler verifies the nonce and that the current user can edit the parent post, but never checks that the attacker-supplied child post ID is one the user is allowed to read; LinkRepository::insert() stores the arbitrary child ID without validation, and ManageLinks::render() later calls LinkRepository::get_children() in its no-extra-args fast path, which falls through to array_map(‘get_post’, $child_ids) — bypassing read_private_posts/read_post capability checks — and then echoes esc_html($child->post_title) in the parent’s editor meta box. This makes it possible for authenticated attackers, with Contributor-level access and above, to read the titles of arbitrary non-public posts (drafts, pending, private, future, trashed) authored by higher-privileged users by linking those post IDs to a draft they own and then reading the resulting meta box.

参考リンク

https://www.wordfence.com/threat-intel/vulnerabilities/id/3ab9af6a-bfe7-4da5-8e60-b20f38cbab36?source=api-prod

脆弱性情報の出典と著作権

脆弱性情報の出典: Wordfence Intelligence のレコード。Copyright 2012-2026 Defiant Inc. License: Defiant hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute this software vulnerability information. Any copy of the software vulnerability information you make for such purposes is authorized provided that you include a hyperlink to this vulnerability record and reproduce Defiant's copyright designation and this license in any such copy. Read more.

CVE: Copyright 1999-2026 The MITRE Corporation. CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Terms of Use.

EPSS: FIRST.org。悪用確認（KEV）: CISA。

本ページの作成について: 上記の出典データをもとに、「何が起きるか」「今日やること」「更新後に確認すること」などの日本語解説は生成 AI が作成し、サイトの主治医が随時確認しています。誤りに気づかれた場合はお問い合わせください。