WordPress Add Polylang support for Customizer プラグイン <= 1.4.5 - クロスサイトリクエストフォージェリ (CSRF) 脆弱性

このCSRF脆弱性を悪用されると、攻撃者は認証済みユーザーとして任意の操作を実行できる可能性があります。例えば、設定の変更、コンテンツの削除、または他の管理機能へのアクセスなどが考えられます。攻撃者は、悪意のあるウェブサイトやメールを通じて、ユーザーを騙し、脆弱なプラグインを介して不正なリクエストを送信する可能性があります。この脆弱性は、WordPressサイトのセキュリティを著しく損なう可能性があります。

WordPress sites utilizing the Add Polylang support for Customizer plugin, particularly those with users who have administrative privileges or frequently interact with the plugin's settings, are at risk. Shared hosting environments where multiple users share the same WordPress installation are also more vulnerable.

• wordpress / composer / npm:

grep -r 'add_polylang_support_for_customizer' /var/www/html/wp-content/plugins/

• wordpress / composer / npm:

wp plugin list --status=inactive | grep add_polylang_support_for_customizer

• wordpress / composer / npm:

wp plugin update --all

1. 2026-01-22Disclosure

   disclosure

1. 予約済み2026-01-07
2. 公開日2026-01-22
3. 更新日2026-04-28
4. EPSS 更新日2026-03-23

この脆弱性への対応策として、まずAdd Polylang support for Customizerを最新バージョンにアップデートすることを推奨します。アップデートが利用できない場合は、WordPressのセキュリティプラグインを使用してCSRFトークンを実装するなどの回避策を検討してください。また、ウェブアプリケーションファイアウォール（WAF）を導入し、CSRF攻撃を検知・防御することも有効です。プラグインのアップデート後、設定が正常に適用されていることを確認してください。

アクティブインストール数

2Kニッチ

プラグイン評価

4.5

WordPressが必要

4.7+

動作確認済みバージョン

6.1.10

PHPが必要

5.6+