Accessibly <= 3.0.3 - 認証されていないユーザーによるウィジェットソースインジェクションを介したStored Cross-Site Scripting (Stored Cross-Site Scripting) の権限不足
プラットフォーム
wordpress
コンポーネント
otm-accessibly
修正版
3.0.4
3.0.4
Accessibly WordPressプラグインのバージョン3.0.3以前には、Stored Cross-Site Scripting（XSS）の脆弱性が存在します。この脆弱性は、REST APIエンドポイントの認証チェックが不十分なために発生し、攻撃者が悪意のあるスクリプトをWordPressサイト上で実行することを可能にします。影響を受けるバージョンは3.0.3以前です。プラグインのアップデートによりこの脆弱性は修正されています。
このCVEがあなたのプロジェクトに影響するか確認
依存関係ファイルをアップロードすれば、このCVEや他のCVEがあなたに影響するか即座にわかります。
影響と攻撃シナリオ
このXSS脆弱性を悪用されると、攻撃者はユーザーのブラウザ上で任意のJavaScriptコードを実行できます。これにより、Cookieの窃取、セッションハイジャック、リダイレクト、または悪意のあるコンテンツの表示といった攻撃が可能になります。特に、管理者の権限を持つユーザーが攻撃を受けると、サイト全体の制御を奪われるリスクがあります。REST APIエンドポイントの認証不備は、他のWordPressプラグインにも同様の脆弱性を引き起こす可能性があるため、注意が必要です。
悪用の状況
この脆弱性は2026年4月14日に公開されました。現時点では、この脆弱性を悪用した具体的な攻撃事例は報告されていませんが、XSS脆弱性は一般的に悪用される可能性が高いため、早急な対応が必要です。CISA KEVカタログへの登録状況は不明です。公開されているPoCは確認されていません。
リスク対象者翻訳中…
Websites using the Accessibly plugin, particularly those running WordPress versions where the plugin is actively used and not regularly updated, are at risk. Shared hosting environments where plugin updates are managed by the hosting provider are also at increased risk if users haven't manually updated the plugin.
検出手順翻訳中…
• wordpress / composer / npm:
grep -r 'otm-ac/v1/update-widget-options' /var/www/html/wp-content/plugins/accessibly/• wordpress / composer / npm:
grep -r 'otm-ac/v1/update-app-config' /var/www/html/wp-content/plugins/accessibly/• wordpress / composer / npm:
wp plugin list --status=active | grep accessibly• wordpress / composer / npm:
wp plugin update accessibly --all攻撃タイムライン
- Disclosure
disclosure
脅威インテリジェンス
エクスプロイト状況
EPSS
0.09% (26% パーセンタイル)
CISA SSVC
CVSS ベクトル
これらのメトリクスの意味は？
- Attack Vector
- ネットワーク — インターネット経由でリモートから悪用可能。物理・ローカルアクセス不要。
- Attack Complexity
- 低 — 特別な条件不要。安定して悪用可能。
- Privileges Required
- なし — 認証不要。資格情報なしで悪用可能。
- User Interaction
- なし — 自動かつ無音の攻撃。被害者は何もしない。
- Scope
- 変化あり — 攻撃が脆弱なコンポーネントを超えて他のシステムに波及可能。
- Confidentiality
- 低 — 一部データへの部分的アクセス。
- Integrity
- 低 — 限定的な範囲でデータ変更可能。
- Availability
- なし — 可用性への影響なし。
影響を受けるソフトウェア
パッケージ情報
- アクティブインストール数
- 400
- プラグイン評価
- 4.5
- WordPressが必要
- 5.5+
- 動作確認済みバージョン
- 6.7.5
- PHPが必要
- 7.0+
弱点分類 (CWE)
タイムライン
- 予約済み
- 公開日
- 更新日
- EPSS 更新日
緩和策と回避策
この脆弱性への対応策として、まずAccessiblyプラグインを最新バージョン（3.0.4以降）にアップデートすることを推奨します。アップデートが困難な場合は、REST APIエンドポイントへのアクセスを制限するWAF（Web Application Firewall）ルールを実装するか、プラグインの設定でREST APIの機能を無効にすることを検討してください。また、WordPressのセキュリティプラグインを使用して、悪意のあるスクリプトの実行を検知・ブロックすることも有効です。
修正方法
既知の修正プログラムはありません。脆弱性の詳細を詳細に検討し、組織のリスク許容度に基づいて軽減策を講じてください。影響を受けるソフトウェアをアンインストールし、代替手段を見つけるのが最善かもしれません。
CVEセキュリティニュースレター
脆弱性分析と重要アラートをメールでお届けします。
よくある質問
CVE-2026-3643 — XSS in Accessibly WordPressプラグインとは何ですか？
CVE-2026-3643は、Accessibly WordPressプラグインのバージョン3.0.3以前に存在するStored Cross-Site Scripting（XSS）脆弱性です。REST APIエンドポイントの認証不備により、攻撃者が悪意のあるスクリプトを実行可能になります。
CVE-2026-3643 in Accessibly WordPressプラグインの影響はありますか？
はい、Accessibly WordPressプラグインのバージョン3.0.3以前を使用している場合、この脆弱性により攻撃者が悪意のあるスクリプトを実行され、Cookieの窃取やセッションハイジャックなどの攻撃を受ける可能性があります。
CVE-2026-3643 in Accessibly WordPressプラグインを修正するにはどうすればよいですか？
Accessiblyプラグインを最新バージョン（3.0.4以降）にアップデートすることで、この脆弱性を修正できます。アップデートが困難な場合は、WAFルールを実装するか、REST APIの機能を無効にすることを検討してください。
CVE-2026-3643は積極的に悪用されていますか？
現時点では、この脆弱性を悪用した具体的な攻撃事例は報告されていませんが、XSS脆弱性は一般的に悪用される可能性が高いため、早急な対応が必要です。
CVE-2026-3643に関するAccessiblyプラグインの公式アドバイザリはどこで入手できますか？
Accessiblyプラグインの公式アドバイザリは、プラグインの公式サイトまたはWordPressのセキュリティアドバイザリページで確認できます。