WordPress本体「WordPress Core」に保存型XSSの脆弱性

CVSS 6.4 MEDIUM

対象	WordPress 本体 WordPress
影響バージョン	6.4.0 〜 6.4.14、6.5.0 〜 6.5.14、6.6.0 〜 6.6.10、6.7.0 〜 6.7.10、6.8.0 〜 6.8.11、6.9.0 〜 6.9.10、7.0.0 〜 7.0.7、7.1.0 〜 7.1.3
修正版	7.1.4
CVE	-
種類	XSS（Improper Neutralization of Input During Web Page Generation）
公表	2026年10月29日　当サイト掲載: 2026年11月2日 12:20

何が起きるか

投稿者以上の権限を持つユーザーが細工したテキストファイルをアップロードすると、閲覧者のブラウザで不正なスクリプトが実行されるおそれがあります。6.4.0〜7.1.3が対象で、7.1.4で修正されています。

想定される被害と条件

閲覧者や管理者のブラウザで不正なスクリプトが実行され、ログイン状態の悪用や画面の改ざんが起こるおそれがある
管理者が被害に遭うと、不正なユーザーの追加や設定変更につながる可能性がある
悪用には「投稿者（Author）」以上の権限を持つアカウントが必要で、そのアカウントを持つ人物や、乗っ取られたアカウントが起点となる
被害は、細工されたファイルにサイト内の特定の画面遷移を通じてたどり着いた場合に発生する

今日やること

WordPress本体を7.1.4以上に更新し、更新できない場合は投稿者以上のアカウントを信頼できる人だけに絞ってください。

すぐに更新できない場合

投稿者以上の権限を持つユーザーを見直し、不要なアカウントの削除や権限の引き下げを行ってください。あわせて、WAFやセキュリティプラグインでテキストファイル（.txtなど）のアップロードを制限してください。

更新後に確認すること

管理画面の「メディア」→「ライブラリ」で、身に覚えのないテキストファイルなど不審なファイルがアップロードされていないか確認する
「ユーザー」一覧で、知らない管理者・投稿者アカウントが追加されていないか、権限が変更されていないか確認する
「投稿」「固定ページ」で、身に覚えのない投稿や、不審なリンク・埋め込みが含まれた投稿がないか確認する
「設定」とインストール済みプラグインに、意図しない変更や追加がないか確認する

不審な投稿・ユーザー・ファイルが見つかった場合は、専門家への相談をおすすめします。

このプラグイン、自分のサイトにも入っている？ URL を入れるだけの無料チェック →

原文（Wordfence Intelligence）

WordPress Core is vulnerable to Stored Cross-Site Scripting in versions 6.4 through 7.1.3 because the Interactivity Router parses successful non-HTML responses as HTML pages without validating the final origin and media type. This makes it possible for authenticated attackers, with Author-level access and above, to upload a crafted text file and inject web scripts that execute when a victim reaches the file through an affected client-navigation path.

参考リンク

https://www.wordfence.com/threat-intel/vulnerabilities/id/06887ecb-dc3e-4c8b-b163-c24e05f6e78e?source=api-prod

脆弱性情報の出典と著作権

脆弱性情報の出典: Wordfence Intelligence のレコード。Copyright 2012-2026 Defiant Inc. License: Defiant hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute this software vulnerability information. Any copy of the software vulnerability information you make for such purposes is authorized provided that you include a hyperlink to this vulnerability record and reproduce Defiant's copyright designation and this license in any such copy. Read more.

EPSS: FIRST.org。悪用確認（KEV）: CISA。

本ページの作成について: 上記の出典データをもとに、「何が起きるか」「今日やること」「更新後に確認すること」などの日本語解説は生成 AI が作成し、サイトの主治医が随時確認しています。誤りに気づかれた場合はお問い合わせください。