WordPress本体「WordPress Core」にクロスサイトスクリプティングの脆弱性

CVSS 4.9 MEDIUM

対象	WordPress 本体 WordPress
影響バージョン	4.7.0 〜 4.7.38、4.8.0 〜 4.8.33、4.9.0 〜 4.9.34、5.0.0 〜 5.0.30、5.1.0 〜 5.1.27、5.2.0 〜 5.2.29、5.3.0 〜 5.3.26、5.4.0 〜 5.4.24、5.5.0 〜 5.5.23、5.6.0 〜 5.6.22、5.7.0 〜 5.7.20、5.8.0 〜 5.8.18、5.9.0 〜 5.9.19、6.0.0 〜 6.0.17、6.1.0 〜 6.1.15、6.2.0 〜 6.2.14、6.3.0 〜 6.3.13、6.4.0 〜 6.4.13、6.5.0 〜 6.5.13、6.6.0 〜 6.6.10、6.7.0 〜 6.7.10、6.8.0 〜 6.8.11、6.9.0 〜 6.9.10、7.0.0 〜 7.0.7、7.1.0 〜 7.1.3
修正版	7.1.4
CVE	-
種類	XSS（Improper Neutralization of Input During Web Page Generation）
公表	2026年10月29日　当サイト掲載: 2026年11月2日 12:20

何が起きるか

WordPress本体のユーザー一覧などの管理画面で、ユーザー名の表示時の無害化が不十分です。細工されたユーザー名が登録されていると、管理者がその画面を開いたときに不正なスクリプトが実行されるおそれがあります。

想定される被害と条件

管理者の権限で、意図しない設定変更やユーザー追加などの操作が行われるおそれがあります
管理画面上で不正な表示や、外部サイトへの誘導が起きる可能性があります
被害が起きるのは、通常の登録手順では作れない不正なユーザー名が、プラグイン・データ移行・データベースの直接操作などで登録された場合に限られます
不正なユーザー名を登録できる権限を持つ人物がいて、さらに管理者が該当のユーザー画面を開くことが条件です
条件が厳しいため深刻度は中程度ですが、ユーザー登録を拡張するプラグインを使うサイトは注意が必要です

今日やること

WordPress本体を 7.1.4 以上に更新し、旧系列を使っている場合は各系列の最新セキュリティ版が提供されているか確認してください。

すぐに更新できない場合

更新できるまでは、ユーザー登録やユーザー名を変更する機能を持つプラグインを見直し、不要なものは停止してください。あわせて、不審なユーザーがいないか確認できるまで、管理者による「ユーザー」画面の閲覧を控えてください。

更新後に確認すること

管理画面の「ユーザー」一覧で、記号や「」を含む不自然なユーザー名がないか確認する
見覚えのない管理者アカウントが追加されていないか、既存ユーザーの権限が変わっていないかを確認する
「設定」の各項目や、有効化しているプラグイン・テーマに、身に覚えのない変更や追加がないか確認する
不審な点があれば、管理者全員のパスワードを変更し、保守担当者に調査を依頼する

不審な投稿・ユーザー・ファイルが見つかった場合は、専門家への相談をおすすめします。

このプラグイン、自分のサイトにも入っている？ URL を入れるだけの無料チェック →

原文（Wordfence Intelligence）

WordPress Core is vulnerable to Stored Cross-Site Scripting in versions 4.7 through 7.1.3 due to insufficient output escaping of user login values in administrative screens. This makes it possible for authenticated attackers, with custom privileges supplied by another component, to inject arbitrary web scripts into a user login value that execute when a privileged user visits an affected Users screen. Standard Core user-creation paths reject the required value, so exploitation requires another component, migration, or direct database operation to bypass Core username validation.

参考リンク

https://www.wordfence.com/threat-intel/vulnerabilities/id/02e2b696-59cb-490b-a7e7-9883e591389b?source=api-prod

脆弱性情報の出典と著作権

脆弱性情報の出典: Wordfence Intelligence のレコード。Copyright 2012-2026 Defiant Inc. License: Defiant hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute this software vulnerability information. Any copy of the software vulnerability information you make for such purposes is authorized provided that you include a hyperlink to this vulnerability record and reproduce Defiant's copyright designation and this license in any such copy. Read more.

EPSS: FIRST.org。悪用確認（KEV）: CISA。

本ページの作成について: 上記の出典データをもとに、「何が起きるか」「今日やること」「更新後に確認すること」などの日本語解説は生成 AI が作成し、サイトの主治医が随時確認しています。誤りに気づかれた場合はお問い合わせください。