無料スキャン
分析待ちCVE-2026-7332

CVE-2026-7332: XSS in LatePoint WordPress Plugin

プラットフォーム

wordpress

コンポーネント

latepoint

修正版

5.5.1

NVDで見る
保存

LatePoint – Calendar Booking Plugin for Appointments and Eventsプラグインにおいて、Stored Cross-Site Scripting (XSS) 脆弱性が確認されています。この脆弱性は、'bookingformpage_url'パラメータの入力値検証が不十分なために発生し、攻撃者が悪意のあるスクリプトを注入し、ユーザーがアクセスした際に実行させることが可能になります。影響を受けるバージョンは5.5.0以前ですが、バージョン5.5.1で修正されています。

WordPress

このCVEがあなたのプロジェクトに影響するか確認

依存関係ファイルをアップロードすれば、このCVEや他のCVEがあなたに影響するか即座にわかります。

無料スキャン

影響と攻撃シナリオ

このXSS脆弱性を悪用されると、攻撃者はユーザーのブラウザ上で任意のJavaScriptコードを実行できます。これにより、セッションCookieの窃取、ユーザーのリダイレクト、フィッシングサイトへの誘導、さらにはウェブサイトの改ざんといった攻撃が可能になります。特に、LatePointプラグインを多用するウェブサイトや、機密情報を扱うフォームを使用している場合、被害は甚大になる可能性があります。攻撃者は、悪意のあるスクリプトを注入されたページにユーザーを誘導することで、ユーザーの操作を監視し、機密情報を盗み出すことが期待できます。

悪用の状況

本脆弱性は、2026年5月5日に公開されました。現時点では、KEV（Kernel Exploitability Tag）の評価は未定です。EPSS（Exploit Prediction Scoring System）スコアも未評価です。公開されているPoC（Proof of Concept）は確認されていませんが、XSS脆弱性は一般的に悪用される可能性が高いため、注意が必要です。NVD（National Vulnerability Database）およびCISA（Cybersecurity and Infrastructure Security Agency）の情報を定期的に確認し、最新の情報を入手するようにしてください。

脅威インテリジェンス

エクスプロイト状況

概念実証不明
CISA KEVNO
インターネット露出高
レポート2 件の脅威レポート

EPSS

0.21% (44% パーセンタイル)

CISA SSVC

悪用状況none
自動化可能yes
技術的影響partial

CVSS ベクトル

脅威インテリジェンス· CVSS 3.1CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:L/I:L/A:N7.2HIGHAttack VectorNetwork攻撃者がターゲットに到達する方法Attack ComplexityLow悪用に必要な条件Privileges RequiredNone攻撃に必要な認証レベルUser InteractionNone被害者の操作が必要かどうかScopeChanged影響コンポーネント外への波及ConfidentialityLow機密データ漏洩のリスクIntegrityLow不正データ改ざんのリスクAvailabilityNoneサービス障害のリスクnextguardhq.com · CVSS v3.1 基本スコア
これらのメトリクスの意味は？
Attack Vector
ネットワーク — インターネット経由でリモートから悪用可能。物理・ローカルアクセス不要。
Attack Complexity
低 — 特別な条件不要。安定して悪用可能。
Privileges Required
なし — 認証不要。資格情報なしで悪用可能。
User Interaction
なし — 自動かつ無音の攻撃。被害者は何もしない。
Scope
変化あり — 攻撃が脆弱なコンポーネントを超えて他のシステムに波及可能。
Confidentiality
低 — 一部データへの部分的アクセス。
Integrity
低 — 限定的な範囲でデータ変更可能。
Availability
なし — 可用性への影響なし。

影響を受けるソフトウェア

コンポーネントlatepoint
ベンダーwordfence
最大バージョン5.5.0
修正版5.5.1

弱点分類 (CWE)

CWE-79

タイムライン

  1. 予約済み
  2. 公開日
  3. 更新日
  4. EPSS 更新日

緩和策と回避策

この脆弱性への対応として、まずLatePointプラグインをバージョン5.5.1以降にアップデートすることを推奨します。アップデートが困難な場合は、WAF（Web Application Firewall）を導入し、XSS攻撃を検知・防御するルールを設定してください。また、入力値のサニタイズ処理を強化し、出力時に適切なエスケープ処理を行うことで、XSS攻撃のリスクを軽減できます。プラグインのアップデート後、XSS攻撃の兆候がないか、ウェブサイトのログを監視し、必要に応じてセキュリティ対策を強化してください。

修正方法

バージョン 5.5.1 以上、または新しい修正バージョンにアップデートしてください

よくある質問

CVE-2026-7332 — XSSはLatePointプラグインで何ですか？

CVE-2026-7332は、LatePoint WordPressプラグインのバージョン5.5.0以前に存在するStored Cross-Site Scripting (XSS) 脆弱性です。攻撃者が悪意のあるスクリプトを注入し、ユーザーがアクセスした際に実行させることが可能になります。

CVE-2026-7332はLatePointプラグインで影響を受けますか？

はい、LatePoint WordPressプラグインのバージョン5.5.0以前を使用している場合は、この脆弱性の影響を受けます。バージョン5.5.1以降にアップデートすることで、脆弱性を解消できます。

CVE-2026-7332はLatePointプラグインでどうやって修正しますか？

LatePointプラグインをバージョン5.5.1以降にアップデートすることで、この脆弱性を修正できます。アップデートが困難な場合は、WAFを導入するなど、代替のセキュリティ対策を検討してください。

CVE-2026-7332は活発に悪用されていますか？

現時点では、活発な悪用事例は確認されていませんが、XSS脆弱性は一般的に悪用される可能性が高いため、注意が必要です。

CVE-2026-7332のLatePointプラグインの公式アドバイザリはどこで入手できますか？

LatePointプラグインの公式アドバイザリは、LatePointのウェブサイトまたはWordPressのプラグインリポジトリで確認できます。最新の情報は、プラグインのアップデートノートも参照してください。

あなたのプロジェクトは影響を受けていますか?

依存関係ファイルをアップロードすれば、このCVEや他のCVEがあなたに影響するか即座にわかります。

無料スキャンCVEを検索
WordPress

このCVEがあなたのプロジェクトに影響するか確認

依存関係ファイルをアップロードすれば、このCVEや他のCVEがあなたに影響するか即座にわかります。

無料スキャン
scanZone.liveBadgescanZone.eyebrow

WordPressプロジェクトを今すぐスキャン — アカウント不要

Upload any manifest (composer.lock, package-lock.json, WordPress plugin list…) or paste your component list. You get a vulnerability report instantly. Uploading a file is just the start: with an account you get continuous monitoring, Slack/email alerts, multi-project and white-label reports.

手動スキャンSlack/メールアラートContinuous monitoringホワイトラベルレポート

依存関係ファイルをドラッグ＆ドロップ

composer.lock、package-lock.json、requirements.txt、Gemfile.lock、pubspec.lock、Dockerfile...