WordPress WP REST Cache プラグイン <= 2026.1.0 - クロスサイトスクリプティング (XSS) 脆弱性

このXSS脆弱性を悪用されると、攻撃者はユーザーのブラウザ上で任意のJavaScriptコードを実行できます。これにより、ユーザーのセッションCookieの窃取、機密情報の盗難、悪意のあるウェブサイトへのリダイレクト、さらにはWordPress管理画面への不正アクセスといった攻撃が可能になります。特に、管理者が脆弱なプラグインを使用している場合、システム全体への影響が及ぶ可能性があります。攻撃者は、ユーザーが入力したデータや、ウェブページに表示されるコンテンツを悪用して、スクリプトを挿入する可能性があります。

Websites using the WP REST Cache plugin, particularly those with user-generated content or features that allow users to input data that is stored and displayed by the plugin, are at risk. Shared hosting environments where multiple websites share the same server resources are also at increased risk, as a compromise of one site could potentially lead to the compromise of others.

• wordpress / composer / npm:

grep -r "<script>" /var/www/html/wp-content/plugins/wp-rest-cache/

• wordpress / composer / npm:

wp plugin list --status=inactive | grep wp-rest-cache

• wordpress / composer / npm:

wp plugin update wp-rest-cache --all

• generic web: Inspect website source code for suspicious JavaScript code injected into pages served by the WP REST Cache plugin.

1. 2026-03-25Disclosure

   disclosure

1. 予約済み2026-02-02
2. 公開日2026-03-25
3. 更新日2026-04-28
4. EPSS 更新日2026-04-02

まず、WP REST Cacheプラグインをバージョン2026.1.1以上にアップデートしてください。アップデートが困難な場合は、プラグインを一時的に無効化するか、WP REST Cacheの機能を制限する設定を検討してください。WAF（Web Application Firewall）を導入し、XSS攻撃を検知・防御するルールを設定することも有効です。また、入力データの検証を強化し、ユーザーが提供するデータに悪意のあるスクリプトが含まれていないか確認する対策を講じることが重要です。アップデート後、プラグインの動作を確認し、問題がないことを確認してください。