プラットフォーム
wordpress
コンポーネント
social-networks-auto-poster-facebook-twitter-g
修正版
4.4.7
CVE-2026-3228は、WordPressプラグインNextScripts Social Networks Auto-PosterにおけるStored Cross-Site Scripting (XSS) 脆弱性です。この脆弱性は、[nxs_fbembed]ショートコードの処理における不適切な入力サニタイズと出力エスケープが原因で発生します。攻撃者は、Contributor以上の権限を持つことで、悪意のあるスクリプトを注入し、ユーザーがページにアクセスした際に実行させることが可能です。影響を受けるバージョンは0.0.0から4.4.6までで、バージョン4.4.7で修正されています。
このXSS脆弱性を悪用されると、攻撃者はWordPressサイトの訪問者に悪意のあるスクリプトを実行させることができます。これにより、Cookieの窃取、セッションハイジャック、リダイレクト、または悪意のあるコンテンツの表示といった攻撃が可能になります。特に、Contributor以上の権限を持つユーザーが脆弱性を悪用することで、より広範囲な影響が及ぶ可能性があります。攻撃者は、被害サイトを悪意のあるサイトにリダイレクトしたり、ユーザーの個人情報を盗み出したりする可能性があります。この脆弱性は、WordPressサイトのセキュリティを著しく損なうリスクを伴います。
CVE-2026-3228は、2026年3月10日に公開されました。現時点では、この脆弱性を悪用した公開PoCは確認されていませんが、XSS脆弱性は一般的に悪用される可能性が高いため、早急な対応が必要です。CISA KEVカタログへの登録状況は不明です。
エクスプロイト状況
EPSS
0.03% (10% パーセンタイル)
CISA SSVC
CVSS ベクトル
この脆弱性への最も効果的な対策は、NextScripts Social Networks Auto-Posterプラグインをバージョン4.4.7にアップデートすることです。アップデートが困難な場合は、プラグインの無効化を検討してください。また、WAF（Web Application Firewall）を導入し、XSS攻撃を検知・防御するルールを設定することも有効です。WordPressのセキュリティプラグインを使用して、入力のサニタイズと出力のエスケープを強化することも推奨されます。アップデート後、プラグインの動作を確認し、問題がないことを確認してください。
バージョン4.4.7、またはそれ以降の修正されたバージョンにアップデートしてください
脆弱性分析と重要アラートをメールでお届けします。
CVE-2026-3228は、NextScripts Social Networks Auto-Posterプラグインの[nxs_fbembed]ショートコードにおけるStored Cross-Site Scripting (XSS) 脆弱性です。攻撃者は、この脆弱性を悪用して悪意のあるスクリプトを注入し、実行させることができます。
はい、バージョン0.0.0から4.4.6までのNextScripts Social Networks Auto-Posterプラグインを使用しているWordPressサイトは、この脆弱性によって攻撃を受ける可能性があります。
NextScripts Social Networks Auto-Posterプラグインをバージョン4.4.7にアップデートすることで、この脆弱性を修正できます。
現時点では、この脆弱性を悪用した公開PoCは確認されていませんが、XSS脆弱性は一般的に悪用される可能性が高いため、早急な対応が必要です。
NextScripts Social Networks Auto-Posterの公式アドバイザリは、NextScriptsのウェブサイトで確認できます。
依存関係ファイルをアップロードすれば、このCVEや他のCVEがあなたに影響するか即座にわかります。