WordPress本体にクリックジャッキングの脆弱性

CVSS 3.5 LOW

対象	WordPress 本体 WordPress
影響バージョン	6.6.0 〜 6.6.10、6.7.0 〜 6.7.10、6.8.0 〜 6.8.11、6.9.0 〜 6.9.10、7.0.0 〜 7.0.7、7.1.0 〜 7.1.3
修正版	7.1.4
CVE	-
種類	その他（Improper Restriction of Rendered UI Layers or Frames）
公表	2026年10月29日　当サイト掲載: 2026年11月2日 12:20

何が起きるか

投稿者（寄稿者）権限以上のユーザーが、投稿の中に管理画面を埋め込める問題です。管理者がその投稿を操作すると、意図しない設定変更などをしてしまうおそれがあります。

想定される被害と条件

管理者や編集者が、意図しない管理操作（設定変更など）をさせられるおそれがある
被害は、寄稿者以上の権限を持つユーザーが細工した投稿を作成した場合に限られる
さらに、管理者などがその投稿をプレビュー・閲覧し、画面上で操作した場合に発生する
情報が直接盗まれる危険は低く、深刻度は「低」と評価されている
外部の人に寄稿者アカウントを発行しているサイトほど注意が必要

今日やること

WordPress本体を7.1.4以上に更新し、更新できない間は寄稿者権限のユーザーとその投稿を点検してください。

すぐに更新できない場合

寄稿者アカウントの新規発行を止め、不要な寄稿者アカウントを削除または権限を下げてください。寄稿者の投稿は、更新が済むまでプレビューや操作をせず、内容を慎重に確認してから扱ってください。

更新後に確認すること

管理画面「ユーザー」で、見覚えのないユーザーや権限が上がったユーザーがいないか確認する
「設定」の各画面（一般・表示設定など）で、サイトURLや管理者メールアドレスなどが勝手に変わっていないか確認する
「投稿」の下書き・レビュー待ちで、寄稿者が作成した不審な投稿（埋め込み要素を含むものなど）がないか確認する
「プラグイン」で、身に覚えのない有効化・無効化や追加がないか確認する

不審な投稿・ユーザー・ファイルが見つかった場合は、専門家への相談をおすすめします。

このプラグイン、自分のサイトにも入っている？ URL を入れるだけの無料チェック →

原文（Wordfence Intelligence）

WordPress Core is vulnerable to Clickjacking in versions 6.6 through 7.1.3 because Interactivity API bindings allow Contributor-supplied content to replace KSES-approved object attributes and load otherwise restricted same-origin administrative pages. This makes it possible for authenticated attackers, with Contributor-level access and above, to embed administrative interfaces in post content and trick a privileged user into performing an unintended action when interacting with a crafted page.

参考リンク

https://www.wordfence.com/threat-intel/vulnerabilities/id/f3e093b3-328a-4053-965a-9de627224b99?source=api-prod

脆弱性情報の出典と著作権

脆弱性情報の出典: Wordfence Intelligence のレコード。Copyright 2012-2026 Defiant Inc. License: Defiant hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute this software vulnerability information. Any copy of the software vulnerability information you make for such purposes is authorized provided that you include a hyperlink to this vulnerability record and reproduce Defiant's copyright designation and this license in any such copy. Read more.

EPSS: FIRST.org。悪用確認（KEV）: CISA。

本ページの作成について: 上記の出典データをもとに、「何が起きるか」「今日やること」「更新後に確認すること」などの日本語解説は生成 AI が作成し、サイトの主治医が随時確認しています。誤りに気づかれた場合はお問い合わせください。