WordPress本体にカスタマイザー経由の格納型クロスサイトスクリプティングの脆弱性

CVSS 6.4 MEDIUM

対象	WordPress 本体 WordPress
影響バージョン	5.0.0 〜 5.0.30、5.1.0 〜 5.1.27、5.2.0 〜 5.2.29、5.3.0 〜 5.3.26、5.4.0 〜 5.4.24、5.5.0 〜 5.5.23、5.6.0 〜 5.6.22、5.7.0 〜 5.7.20、5.8.0 〜 5.8.18、5.9.0 〜 5.9.19、6.0.0 〜 6.0.17、6.1.0 〜 6.1.15、6.2.0 〜 6.2.14、6.3.0 〜 6.3.13、6.4.0 〜 6.4.13、6.5.0 〜 6.5.13、6.6.0 〜 6.6.10、6.7.0 〜 6.7.10、6.8.0 〜 6.8.11、6.9.0 〜 6.9.10、7.0.0 〜 7.0.7、7.1.0 〜 7.1.3
修正版	7.1.4
CVE	-
種類	XSS（Improper Neutralization of Input During Web Page Generation）
公表	2026年10月29日　当サイト掲載: 2026年11月2日 12:20

何が起きるか

投稿者（Contributor）以上の権限を持つユーザーが、投稿本文に悪意のあるスクリプトを仕込める脆弱性です。管理者などがカスタマイザーのプレビューでその内容を表示すると、スクリプトが実行されるおそれがあります。

想定される被害と条件

管理者のブラウザ上で不正なスクリプトが実行され、管理者権限で設定変更や不正ユーザーの追加が行われるおそれがあります
サイトの改ざんや、訪問者を不正サイトへ誘導するコードの埋め込みにつながる可能性があります
悪用には、投稿者（Contributor）以上の権限を持つアカウントが必要です
被害が起きるのは、管理者などがカスタマイザーのプレビューで該当コンテンツを表示した場合です
外部の人に投稿者権限を付与しているサイトや、乗っ取られたアカウントがあるサイトは特に注意が必要です

今日やること

WordPress本体を7.1.4以上に更新し、更新できない場合は投稿者以上のアカウントを見直してカスタマイザーの利用を控えてください。

すぐに更新できない場合

更新が完了するまでは、管理者は「外観」→「カスタマイズ」画面を開かないようにしてください。あわせて、不要な投稿者以上のアカウントを削除・無効化し、可能であればWAFを有効にしてください。

更新後に確認すること

「ユーザー」→「ユーザー一覧」で、見覚えのない管理者アカウントや、権限が変更されたアカウントがないか確認します
「投稿」一覧で、投稿者権限のユーザーが作成した下書き・投稿に、不審なコードや見慣れない記述がないか確認します
「外観」（カスタマイズ・ウィジェット・メニュー）や「設定」に、意図しない変更がないか確認します
「プラグイン」「テーマ」に見覚えのない追加や変更がないか確認し、念のため管理者のパスワードを変更します

不審な投稿・ユーザー・ファイルが見つかった場合は、専門家への相談をおすすめします。

このプラグイン、自分のサイトにも入っている？ URL を入れるだけの無料チェック →

原文（Wordfence Intelligence）

WordPress Core is vulnerable to Stored Cross-Site Scripting via Customizer selective refresh in versions 5.0 through 7.1.3 due to unsafe handling of partial data declared in post content. This makes it possible for authenticated attackers, with Contributor-level access and above, to inject arbitrary web scripts that execute when a privileged user renders the affected content in a Customizer preview.

参考リンク

https://www.wordfence.com/threat-intel/vulnerabilities/id/052c4b9c-c944-4599-95a7-21a05775b875?source=api-prod

脆弱性情報の出典と著作権

脆弱性情報の出典: Wordfence Intelligence のレコード。Copyright 2012-2026 Defiant Inc. License: Defiant hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute this software vulnerability information. Any copy of the software vulnerability information you make for such purposes is authorized provided that you include a hyperlink to this vulnerability record and reproduce Defiant's copyright designation and this license in any such copy. Read more.

EPSS: FIRST.org。悪用確認（KEV）: CISA。

本ページの作成について: 上記の出典データをもとに、「何が起きるか」「今日やること」「更新後に確認すること」などの日本語解説は生成 AI が作成し、サイトの主治医が随時確認しています。誤りに気づかれた場合はお問い合わせください。