WordPressプラグイン「WP Activity Log」にクロスサイトスクリプティングの脆弱性（CVE-2026-120075）

CVSS 7.2 HIGH 未ログインで悪用可能

何が起きるか

WP Activity Log 5.6.1以前では、ログインしていない第三者が不正なスクリプトを記録データに埋め込める恐れがあります。管理者がその画面を開くとスクリプトが実行され、乗っ取り等につながる可能性があります。

想定される被害と条件

• 管理者が活動ログ画面などを閲覧した際に不正なスクリプトが実行される
• 管理者のログイン状態を悪用され、不正な管理者ユーザーの追加や設定変更が行われる恐れがある
• サイトに不正なコードやリダイレクトが仕込まれ、訪問者が被害を受ける恐れがある
• 攻撃者はログイン不要のため、公開中のサイトであれば誰でも攻撃対象になり得る

今日やること

WP Activity Log を 5.6.2 以上に更新し、すぐに更新できない場合はプラグインの一時停止・削除を検討してください。

すぐに更新できない場合

更新までの間はプラグインを一時的に無効化し、活動ログ関連の管理画面を開かないようにしてください。WAF（Webアプリケーションファイアウォール）でXSS対策ルールを有効にすることも有効です。

更新後に確認すること

• 管理画面「ユーザー」一覧に見覚えのない管理者アカウントが追加されていないか確認する
• 「設定」やテーマ・プラグインに身に覚えのない変更や追加がないか確認する
• 投稿・固定ページやウィジェットに不審なスクリプトや外部リンクが挿入されていないか確認する
• 活動ログに不自然な文字列（scriptタグ等）を含む記録がないか確認し、心配な場合は管理者パスワードを変更する

不審な投稿・ユーザー・ファイルが見つかった場合は、専門家への相談をおすすめします。

WP Activity Log の現在の情報 （WordPress.org、2026-11-02 取得）

技術的な詳細（修正差分の解析）

修正前後のコード（5.6.1 → 5.6.2）を WordPress.org から取得して差分を解析しました。特定の確度: 中。攻撃に使える手順は記載していません。

原因となった処理

• 管理画面の活動ログ一覧（classes/ListAdminEvents/class-list-events.php の column_default 内 'scip' 列）では、イベントに記録されたクライアントIP（client_ip）を HTML に組み立てる際に、data-ip 属性・href 属性・複数IP表示用の div 要素へエスケープせずに連結していました。
• 記録されるIPは、プロキシ経由のアクセスで送られるヘッダーなどクライアント側が指定できる値から取得される場合があります。保存時にIPアドレスとしての形式検証が行われず、IPではない任意の文字列もそのままデータベースに保存されていました（推定）。
• ログイン失敗など未認証ユーザーの操作もイベントとして記録されます。そのため、認証のない第三者が細工した値を記録させ、管理者がログ一覧を開いたときにブラウザ上でスクリプトが実行される、蓄積型XSSが成立し得ました。
• イベントメッセージの整形処理（classes/Helpers/formatters/class-alert-formatter.php）でも、%path%・%old_path%・%FilePath% の値が span 要素と data-shortened-text 属性へ未エスケープで出力されていました。これらも同種の出力箇所として修正されています。
• 入力検証用の Validator::is_string_contains_only が使っていた正規表現 '/[a-zd_-]*/i' には先頭・末尾のアンカーがなく、どのような文字列でも一致して true を返していました。このため許可文字チェックとして機能していませんでした。

被害が起きる前提条件

• WP Activity Log 5.6.1 以前が有効化されており、ログイン失敗など未認証ユーザーによる操作がイベントとして記録される状態であること。
• ログに記録されるIPに、クライアント側が指定できるヘッダー由来の値が反映され得る環境であること（リバースプロキシ利用時の設定など）。
• 管理者など活動ログの閲覧権限を持つユーザーが、管理画面でログ一覧やイベント詳細を表示すること。表示時に、そのユーザーの権限でスクリプトが実行されます。

修正版での変更

• IP列の表示処理で filter_var( FILTER_VALIDATE_IP ) による検証を追加しました。IPとして妥当でない値はリンクにせず、esc_html でテキストとしてのみ表示します。妥当なIPについても、属性には esc_attr、URLには esc_url、本文には esc_html を適用し、複数IPの各要素もエスケープするようになりました。
• Alert_Formatter のパス系プレースホルダーの出力に esc_html と esc_attr を追加しました。no_items のエラーメッセージ出力も wp_kses_post を通すように変更されています。
• Validator の正規表現を '/^[a-zd_-]+$/i' に修正し、許可文字のみで構成されているかを正しく判定するようにしました。
• 関連する強化として、通知の非表示処理（ajax_dismiss_notice）への nonce 検証、アドオンのインストール処理への install_plugins / activate_plugins 権限チェック、各ファイルへの ABSPATH 直接アクセス防止、Slack / Twilio のエラーメッセージのエスケープが追加されました。

主な修正ファイル: classes/ListAdminEvents/class-list-events.php, classes/Helpers/formatters/class-alert-formatter.php, classes/Helpers/class-validator.php, classes/AbstractView.php, classes/Actions/class-plugin-installer.php

原文（Wordfence Intelligence）