WordPress本体にクロスサイトスクリプティング（XSS）の脆弱性

CVSS 4.4 MEDIUM

対象	WordPress 本体 WordPress
影響バージョン	4.9.6 〜 4.9.34、5.0.0 〜 5.0.30、5.1.0 〜 5.1.27、5.2.0 〜 5.2.29、5.3.0 〜 5.3.26、5.4.0 〜 5.4.24、5.5.0 〜 5.5.23、5.6.0 〜 5.6.22、5.7.0 〜 5.7.20、5.8.0 〜 5.8.18、5.9.0 〜 5.9.19、6.0.0 〜 6.0.17、6.1.0 〜 6.1.15、6.2.0 〜 6.2.14、6.3.0 〜 6.3.13、6.4.0 〜 6.4.13、6.5.0 〜 6.5.13、6.6.0 〜 6.6.10、6.7.0 〜 6.7.10、6.8.0 〜 6.8.11、6.9.0 〜 6.9.10、7.0.0 〜 7.0.7、7.1.0 〜 7.1.3
修正版	7.1.4
CVE	-
種類	XSS（Improper Neutralization of Input During Web Page Generation）
公表	2026年10月29日　当サイト掲載: 2026年11月2日 12:20

何が起きるか

WordPress本体の「個人データ消去リクエスト」画面で、登録されたメールアドレス欄が無害化されずに表示されます。そのため、編集者以上の権限を持つ者が仕込んだ不正なスクリプトが、管理者がこの画面を開いたときに実行される恐れがあります。

想定される被害と条件

管理者が「個人データ消去リクエスト」画面を開いた際に、仕込まれたスクリプトが管理者の権限で実行される恐れがある
管理者のログイン状態を悪用され、不正なユーザー追加や設定変更などが行われる可能性がある
悪用には編集者以上の権限でのログインが必要で、該当アカウントの乗っ取りや悪意ある内部関係者が前提となる
攻撃の成立条件が厳しいため深刻度は「中」だが、編集者を複数人登録しているサイトは注意が必要

今日やること

WordPress本体を7.1.4以上に更新し、あわせて編集者以上の権限を持つユーザーに心当たりのないアカウントがないか確認してください。

すぐに更新できない場合

更新できるまでは、管理画面の「ツール」→「個人データの消去」画面を開かないようにしてください。あわせて不要な編集者・管理者アカウントを削除し、残すアカウントのパスワードを変更してください。

更新後に確認すること

管理画面の「ツール」→「個人データの消去」で、心当たりのないリクエストや不自然な文字列を含むメールアドレスがないか確認する
「ユーザー」一覧で、身に覚えのない管理者・編集者アカウントが追加されていないか確認する
「設定」や「外観」「プラグイン」で、知らない変更や見覚えのないプラグイン・テーマが追加されていないか確認する

不審な投稿・ユーザー・ファイルが見つかった場合は、専門家への相談をおすすめします。

このプラグイン、自分のサイトにも入っている？ URL を入れるだけの無料チェック →

原文（Wordfence Intelligence）

WordPress Core is vulnerable to Stored Cross-Site Scripting in versions 4.9.6 through 7.1.3 due to insufficient output escaping of email values stored in personal data requests. This makes it possible for authenticated attackers, with Editor-level access and above, to inject arbitrary web scripts into personal data erasure request records that execute when an administrator visits the personal data erasure requests screen.

参考リンク

https://www.wordfence.com/threat-intel/vulnerabilities/id/b5023e2a-19d5-4014-86ed-fb375300a6bf?source=api-prod

脆弱性情報の出典と著作権

脆弱性情報の出典: Wordfence Intelligence のレコード。Copyright 2012-2026 Defiant Inc. License: Defiant hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute this software vulnerability information. Any copy of the software vulnerability information you make for such purposes is authorized provided that you include a hyperlink to this vulnerability record and reproduce Defiant's copyright designation and this license in any such copy. Read more.

EPSS: FIRST.org。悪用確認（KEV）: CISA。

本ページの作成について: 上記の出典データをもとに、「何が起きるか」「今日やること」「更新後に確認すること」などの日本語解説は生成 AI が作成し、サイトの主治医が随時確認しています。誤りに気づかれた場合はお問い合わせください。