WordPressプラグイン「easy.jobs」にXSSの脆弱性（CVE-2026-112365）

CVSS 7.2 HIGH 未ログインで悪用可能

対象	プラグイン easy.jobs （easy.jobs – AI powered Job Listing, Job Board, Career Page, Recruitment & Hiring Solution）有効インストール約 4,000 件
影響バージョン	2.8.4 以下
修正版	2.8.5
CVE	CVE-2026-112365
種類	XSS（Improper Neutralization of Input During Web Page Generation）
悪用される確率（EPSS）	0.53%（全脆弱性の上位 55%）
公表	2026年10月31日　当サイト掲載: 2026年11月2日 12:20

何が起きるか

求人応募フォームのカバーレター欄に、ログイン不要で悪意あるスクリプトを仕込まれる恐れがあります。管理者が応募者情報を開いて細工されたリンクをクリックすると、管理者の権限で不正な操作が行われる可能性があります。

想定される被害と条件

誰でも（ログイン不要で）応募フォームのカバーレター欄に悪意あるスクリプトを含む内容を送信できる
管理者が該当応募者の「Application」タブを開き、仕込まれたリンクをクリックした場合にスクリプトが実行される
管理者の権限で不正な管理者ユーザーの追加や設定変更、改ざんが行われる恐れがある
管理者のログイン状態が悪用され、サイト全体が乗っ取られる可能性がある

今日やること

easy.jobsプラグインを2.8.5以上に更新し、すぐに更新できない場合は停止・削除を検討してください。

すぐに更新できない場合

更新までは応募フォーム（求人応募の受付）を一時停止し、管理画面で応募者の「Application」タブ内のリンクをクリックしないでください。WAFの導入も有効です。

更新後に確認すること

管理画面の「ユーザー」一覧で、身に覚えのない管理者アカウントが追加されていないか確認する
easy.jobsの応募者一覧で、カバーレター欄に不審なリンクや意味不明な文字列を含む応募がないか確認し、あれば削除する
「プラグイン」「外観」「設定」で、知らないプラグインの追加や設定・テーマの変更がないか確認する
不審な点があれば管理者パスワードを変更し、全ユーザーをログアウトさせる

不審な投稿・ユーザー・ファイルが見つかった場合は、専門家への相談をおすすめします。

easy.jobs の現在の情報（WordPress.org、2026-11-02 取得）

最新版	2.8.5 修正版を含む
対応 WordPress	6.3 以上（検証済み 7.1.4）
最終更新	2026-10-27 10:09am GMT
有効インストール	4,000+
リンク	WordPress.org のページ　公式サイト

このプラグイン、自分のサイトにも入っている？ URL を入れるだけの無料チェック →

原文（Wordfence Intelligence）

The easy.jobs – AI powered Job Listing, Job Board, Career Page, Recruitment & Hiring Solution plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the ‘cover_letter’ parameter in all versions up to, and including, 2.8.4 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. Successful execution requires an administrator to open the affected candidate’s Application tab and click the attacker-crafted link, at which point WHATWG URL parsing collapses the encoded scheme back to javascript: and executes the payload.

参考リンク

https://www.wordfence.com/threat-intel/vulnerabilities/id/bff1af96-c60e-4c1e-a793-31cd23ec635e?source=api-prod

脆弱性情報の出典と著作権

脆弱性情報の出典: Wordfence Intelligence のレコード。Copyright 2012-2026 Defiant Inc. License: Defiant hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute this software vulnerability information. Any copy of the software vulnerability information you make for such purposes is authorized provided that you include a hyperlink to this vulnerability record and reproduce Defiant's copyright designation and this license in any such copy. Read more.

CVE: Copyright 1999-2026 The MITRE Corporation. CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Terms of Use.

EPSS: FIRST.org。悪用確認（KEV）: CISA。

本ページの作成について: 上記の出典データをもとに、「何が起きるか」「今日やること」「更新後に確認すること」などの日本語解説は生成 AI が作成し、サイトの主治医が随時確認しています。誤りに気づかれた場合はお問い合わせください。