WordPressプラグイン「Schema App Structured Data」にXSSの脆弱性（CVE-2026-96666）

CVSS 7.2 HIGH 未ログインで悪用可能修正版なし

対象	プラグイン Schema App Structured Data
影響バージョン	2.3.2 以下
修正版	未修正
CVE	CVE-2026-96666
種類	XSS（Improper Neutralization of Input During Web Page Generation）
悪用される確率（EPSS）	0.30%（全脆弱性の上位 78%）
公表	2026年10月28日　当サイト掲載: 2026年11月2日 12:20

何が起きるか

バージョン2.3.2以下で、コメント欄に悪意あるスクリプトを仕込まれ、ページ閲覧者のブラウザで実行されるおそれがあります。「Remove Microdata」設定が有効で、管理者がそのコメントを承認した場合に限り発生します。

想定される被害と条件

閲覧者のブラウザで不正なスクリプトが実行され、偽サイトへの誘導や偽表示が行われるおそれ
ログイン中の管理者が該当ページを開くと、管理者権限で操作を行われる可能性
サイトの信頼性低下や改ざんにつながる可能性
条件：「Remove Microdata」が有効で、かつ管理者が悪意あるコメントを承認した場合

今日やること

Schema App Structured Dataは修正版が未公開のため、「Remove Microdata」設定を無効化し、不要であればプラグインの停止・削除を検討してください。

すぐに更新できない場合

プラグイン設定で「Remove Microdata」を無効にし、コメントは手動承認として不審な内容（記号やコードを含むもの）を承認しないでください。WAFの導入も有効です。

更新後に確認すること

管理画面「コメント」で承認済みコメントに不審なコードやリンクが含まれていないか確認
「ユーザー」一覧に見覚えのない管理者アカウントが追加されていないか確認
投稿・固定ページやテーマ・プラグインの設定が意図せず変更されていないか確認
サイトを開いて見知らぬサイトへの転送や不審な表示が無いか確認

不審な投稿・ユーザー・ファイルが見つかった場合は、専門家への相談をおすすめします。

このプラグイン、自分のサイトにも入っている？ URL を入れるだけの無料チェック →

原文（Wordfence Intelligence）

The Schema App Structured Data plugin for WordPress is vulnerable to Stored Cross-Site Scripting via Comment Content via ‘Remove Microdata’ Output Filter in all versions up to, and including, 2.3.2 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. Exploitation requires that an administrator has enabled the plugin’s ‘Remove Microdata’ option and approves the malicious comment.

参考リンク

https://www.wordfence.com/threat-intel/vulnerabilities/id/7e0a6ba5-6b2a-49b2-8780-df5eb6a5eecd?source=api-prod

脆弱性情報の出典と著作権

脆弱性情報の出典: Wordfence Intelligence のレコード。Copyright 2012-2026 Defiant Inc. License: Defiant hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute this software vulnerability information. Any copy of the software vulnerability information you make for such purposes is authorized provided that you include a hyperlink to this vulnerability record and reproduce Defiant's copyright designation and this license in any such copy. Read more.

CVE: Copyright 1999-2026 The MITRE Corporation. CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Terms of Use.

EPSS: FIRST.org。悪用確認（KEV）: CISA。

本ページの作成について: 上記の出典データをもとに、「何が起きるか」「今日やること」「更新後に確認すること」などの日本語解説は生成 AI が作成し、サイトの主治医が随時確認しています。誤りに気づかれた場合はお問い合わせください。