WordPressプラグイン「Photo Engine (Media Organizer & Lightroom)」にXSSの脆弱性

CVSS 6.4 MEDIUM

対象	プラグイン Photo Engine （Photo Engine (Media Organizer & Lightroom)）有効インストール約 2,000 件
影響バージョン	6.5.7 以下
修正版	6.5.8
CVE	-
種類	XSS（Improper Neutralization of Input During Web Page Generation）
公表	2026年10月31日　当サイト掲載: 2026年11月2日 12:20

何が起きるか

バージョン6.5.7以下では、購読者などの低い権限のユーザーが、ページに不正なスクリプトを埋め込めます。埋め込まれたページを閲覧した管理者や訪問者のブラウザでスクリプトが実行されるおそれがあります。

想定される被害と条件

購読者以上のアカウントを持つ者が、ページに不正なスクリプトを埋め込める（ユーザー登録を許可しているサイトは特に注意）
管理者が該当ページを開くと、管理者権限で不正な操作（管理者ユーザーの追加や設定変更など）が行われるおそれ
訪問者が不審なサイトへ転送されたり、偽の表示を見せられたりするおそれ
ログイン中のユーザーのセッション情報などが盗まれるおそれ

今日やること

Photo Engine (Media Organizer & Lightroom) を 6.5.8 以上に今日中に更新し、すぐ更新できない場合は停止・削除を検討してください。

すぐに更新できない場合

更新できるまでプラグインを無効化してください。あわせて「設定」→「一般」で誰でもユーザー登録できる設定をオフにし、不要な購読者アカウントを削除してください。

更新後に確認すること

「ユーザー」一覧で、身に覚えのない管理者や最近追加された不審なアカウントがないか確認する
「メディア」やPhoto Engineのフォルダ・コレクション名に、意味不明な文字列やscriptなどを含む名前がないか確認する
サイトの表示時に不審なポップアップや別サイトへの転送が起きないか確認する
「設定」やプラグイン一覧に、身に覚えのない変更や追加がないか確認する

不審な投稿・ユーザー・ファイルが見つかった場合は、専門家への相談をおすすめします。

Photo Engine の現在の情報（WordPress.org、2026-11-02 取得）

最新版	6.6.0 修正版を含む
対応 WordPress	6.0 以上（検証済み 7.1.4）
最終更新	2026-10-24 9:08am GMT
有効インストール	2,000+
リンク	WordPress.org のページ　公式サイト

このプラグイン、自分のサイトにも入っている？ URL を入れるだけの無料チェック →

原文（Wordfence Intelligence）

The Photo Engine (Media Organizer & Lightroom) plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the ‘hierarchy[].name’ parameter in all versions up to, and including, 6.5.7 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with subscriber-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. This is exploitable by Subscribers because the /?wplr-sync-api endpoint authenticates solely via wplr_auth_token usermeta with no capability check, and the current user’s token is exposed on every admin page via localized script data due to a commented-out screen-condition guard.

参考リンク

https://www.wordfence.com/threat-intel/vulnerabilities/id/ebb6a31a-3d12-4dd1-b9f8-5d9e17f0bf48?source=api-prod

脆弱性情報の出典と著作権

脆弱性情報の出典: Wordfence Intelligence のレコード。Copyright 2012-2026 Defiant Inc. License: Defiant hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute this software vulnerability information. Any copy of the software vulnerability information you make for such purposes is authorized provided that you include a hyperlink to this vulnerability record and reproduce Defiant's copyright designation and this license in any such copy. Read more.

EPSS: FIRST.org。悪用確認（KEV）: CISA。

本ページの作成について: 上記の出典データをもとに、「何が起きるか」「今日やること」「更新後に確認すること」などの日本語解説は生成 AI が作成し、サイトの主治医が随時確認しています。誤りに気づかれた場合はお問い合わせください。