WordPress本体「WordPress Core」にクロスサイトスクリプティングの脆弱性

CVSS 6.4 MEDIUM

対象	WordPress 本体 WordPress
影響バージョン	6.7.0 〜 6.7.10、6.8.0 〜 6.8.11、6.9.0 〜 6.9.10、7.0.0 〜 7.0.7、7.1.0 〜 7.1.3
修正版	7.1.4
CVE	-
種類	XSS（Improper Neutralization of Input During Web Page Generation）
公表	2026年10月29日　当サイト掲載: 2026年11月2日 12:20

何が起きるか

WordPress本体の「カテゴリー」ブロックに不備があり、寄稿者以上の権限を持つユーザーがページに不正なスクリプトを埋め込めます。そのページを閲覧した訪問者や管理者のブラウザでスクリプトが実行されるおそれがあります。

想定される被害と条件

寄稿者以上のアカウントを持つ人物が悪用した場合に発生します（外部の未登録者だけでは悪用できません）
不正なスクリプトが埋め込まれたページを訪問者が開くと、偽の表示や別サイトへの誘導が行われるおそれがあります
管理者がそのページを開いた場合、ログイン状態を悪用されて設定変更や不正なユーザー追加などにつながるおそれがあります
複数人で記事を書くサイトや、ユーザー登録を受け付けているサイトほど影響を受けやすくなります

今日やること

WordPress本体を7.1.4以上に更新してください（自動更新が有効か確認し、未適用なら管理画面の「更新」から手動で実行）。

すぐに更新できない場合

更新までの間は、寄稿者・投稿者など信頼できないユーザーのアカウントを一時的に停止するか権限を下げ、新規ユーザー登録を無効にしてください。WAF（Webアプリケーションファイアウォール）の導入も有効です。

更新後に確認すること

管理画面の「投稿」「固定ページ」で、寄稿者以上のユーザーが最近作成・編集した記事に「カテゴリー」ブロックが含まれていないか、表示が不自然でないかを確認する
「ユーザー」一覧で、身に覚えのない管理者アカウントや権限が変更されたユーザーがいないか確認する
「設定」やインストール済みプラグイン・テーマに、覚えのない変更や追加がないか確認する
不審な点があれば、管理者を含む全ユーザーのパスワードを変更する

不審な投稿・ユーザー・ファイルが見つかった場合は、専門家への相談をおすすめします。

このプラグイン、自分のサイトにも入っている？ URL を入れるだけの無料チェック →

原文（Wordfence Intelligence）

WordPress Core is vulnerable to Stored Cross-Site Scripting via the Categories block in versions 6.7 through 7.1.3 because a user-supplied dropdown label is evaluated as a `sprintf()` format string after sanitization. This makes it possible for authenticated attackers, with Contributor-level access and above, to inject arbitrary web scripts in pages that execute whenever a user accesses an injected page.

参考リンク

https://www.wordfence.com/threat-intel/vulnerabilities/id/cd578650-8ce9-40a4-94ca-e9d4951503a6?source=api-prod

脆弱性情報の出典と著作権

脆弱性情報の出典: Wordfence Intelligence のレコード。Copyright 2012-2026 Defiant Inc. License: Defiant hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute this software vulnerability information. Any copy of the software vulnerability information you make for such purposes is authorized provided that you include a hyperlink to this vulnerability record and reproduce Defiant's copyright designation and this license in any such copy. Read more.

EPSS: FIRST.org。悪用確認（KEV）: CISA。

本ページの作成について: 上記の出典データをもとに、「何が起きるか」「今日やること」「更新後に確認すること」などの日本語解説は生成 AI が作成し、サイトの主治医が随時確認しています。誤りに気づかれた場合はお問い合わせください。