WordPress本体「WordPress」にXSSの脆弱性

CVSS 6.4 MEDIUM

対象	WordPress 本体 WordPress
影響バージョン	6.6.0 〜 6.6.10、6.7.0 〜 6.7.10、6.8.0 〜 6.8.11、6.9.0 〜 6.9.10、7.0.0 〜 7.0.7、7.1.0 〜 7.1.3
修正版	7.1.4
CVE	-
種類	XSS（Improper Neutralization of Input During Web Page Generation）
公表	2026年10月29日　当サイト掲載: 2026年11月2日 12:20

何が起きるか

WordPress 6.6〜7.1.3では、投稿者（Contributor）以上の権限を持つユーザーがページに不正なスクリプトを埋め込める可能性があります。そのページを閲覧した管理者や訪問者のブラウザでスクリプトが実行される恐れがあります。

想定される被害と条件

投稿者以上のアカウントを持つ人（または乗っ取られたアカウント）が細工した投稿を作成した場合に被害が発生する
細工されたページを管理者が閲覧すると、管理者権限で設定変更や不正ユーザー追加などが行われる恐れがある
サイト訪問者が偽サイトへ誘導されたり、不審な広告・偽の入力フォームが表示される恐れがある
ログイン中ユーザーのセッション情報などが悪用される恐れがある

今日やること

WordPress本体を7.1.4以上（または利用中の各系列の最新セキュリティリリース）に今日中に更新してください。

すぐに更新できない場合

すぐ更新できない場合は、投稿者（Contributor）以上の不要なアカウントを削除・権限を下げ、新規ユーザー登録を停止してください。投稿者が作成した未確認の下書き・プレビューは管理者が開かないようにし、WAFの利用も検討してください。

更新後に確認すること

「ユーザー」画面で見覚えのない管理者・編集者アカウントが追加されていないか確認する
「投稿」「固定ページ」で、投稿者権限のユーザーが最近作成・編集した記事やブロック内容に不審な記述がないか確認する
「設定」画面（サイトURL、管理者メールアドレスなど）が勝手に変更されていないか確認する
サイトを閲覧して、不審なリダイレクトやポップアップ、見覚えのない表示がないか確認する

不審な投稿・ユーザー・ファイルが見つかった場合は、専門家への相談をおすすめします。

このプラグイン、自分のサイトにも入っている？ URL を入れるだけの無料チェック →

原文（Wordfence Intelligence）

WordPress Core is vulnerable to Stored Cross-Site Scripting in versions 6.6 through 7.1.3 because the client-side Interactivity API permits data-wp-bind directives to target event-handler properties. This makes it possible for authenticated attackers, with Contributor-level access and above, to inject web scripts in pages that render the affected content.

参考リンク

https://www.wordfence.com/threat-intel/vulnerabilities/id/57bbf56a-805d-4081-901a-4a0594c84336?source=api-prod

脆弱性情報の出典と著作権

脆弱性情報の出典: Wordfence Intelligence のレコード。Copyright 2012-2026 Defiant Inc. License: Defiant hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute this software vulnerability information. Any copy of the software vulnerability information you make for such purposes is authorized provided that you include a hyperlink to this vulnerability record and reproduce Defiant's copyright designation and this license in any such copy. Read more.

EPSS: FIRST.org。悪用確認（KEV）: CISA。

本ページの作成について: 上記の出典データをもとに、「何が起きるか」「今日やること」「更新後に確認すること」などの日本語解説は生成 AI が作成し、サイトの主治医が随時確認しています。誤りに気づかれた場合はお問い合わせください。