WordPress Slick Google Map プラグイン <= 0.3 - Stored XSS 脆弱性を引き起こす Cross Site Request Forgery (CSRF) 脆弱性

このXSS脆弱性を悪用されると、攻撃者はユーザーのブラウザ上で任意のJavaScriptコードを実行できます。これにより、攻撃者はユーザーのセッションCookieを盗み出し、ユーザーになりすまして機密情報にアクセスしたり、ユーザーの代わりにアクションを実行したりすることが可能になります。また、悪意のあるリダイレクトを実行したり、ウェブサイトのコンテンツを改ざんしたりすることも可能です。この脆弱性は、特に管理者がSlick Google Mapを使用しているWordPressサイトにおいて、深刻な影響を及ぼす可能性があります。攻撃者は、ユーザーがログインしている間に悪意のあるコードを実行し、サイト全体のセキュリティを侵害する可能性があります。

Websites using the Slick Google Map plugin, particularly those with user authentication or sensitive data displayed through the plugin, are at risk. Shared hosting environments where plugin updates are managed centrally are also at increased risk, as a single compromised plugin can affect multiple websites.

• wordpress / composer / npm:

grep -r 'slick-google-map' /var/www/html/wp-content/plugins/
wp plugin list | grep 'slick-google-map'

• generic web:

curl -I https://example.com/wp-content/plugins/slick-google-map/ | grep 'X-Frame-Options'

1. 2025-11-06Disclosure

   disclosure

1. 予約済み2025-05-15
2. 公開日2025-11-06
3. 更新日2026-04-28
4. EPSS 更新日2026-03-23

この脆弱性への対応策として、まずSlick Google Mapをバージョン0.3.1にアップデートすることを強く推奨します。アップデートがすぐに利用できない場合、WordPressのセキュリティプラグインを使用してCSRF対策を強化することを検討してください。また、入力検証を厳密に行い、ユーザーからの入力を適切にサニタイズすることで、XSS攻撃のリスクを軽減できます。WAF（Web Application Firewall）を導入し、悪意のあるリクエストをブロックすることも有効な対策となります。