WordPress OOPSpam Anti-Spam プラグイン <= 1.2.62 - クロスサイトスクリプティング (XSS) 脆弱性

このXSS脆弱性は、攻撃者がOOPSpam Anti-Spamを導入しているWebサイトのユーザーを標的にする強力な攻撃手段となります。攻撃者は、ユーザーのブラウザ上で任意のJavaScriptコードを実行できるため、Cookieの窃取、セッションハイジャック、リダイレクト、さらにはWebサイトの改ざんといった攻撃を実行可能です。特に、管理者権限を持つユーザーが標的にされると、Webサイト全体が危険にさらされる可能性があります。類似のXSS脆弱性は、Webサイトの信頼性を損ない、ユーザーの個人情報漏洩につながる重大なリスクをもたらします。

WordPress websites utilizing the OOPSpam Anti-Spam plugin, particularly those running versions prior to 1.2.63, are at risk. Shared hosting environments where multiple websites share the same server resources are especially vulnerable, as a compromise of one site could potentially lead to lateral movement to others.

• wordpress / composer / npm:

grep -r 'oopspam-anti-spam' /var/www/html/wp-content/plugins/
wp plugin list | grep oopspam-anti-spam

• generic web:

curl -I https://your-wordpress-site.com/wp-content/plugins/oopspam-anti-spam/ | grep X-Powered-By

1. 2026-03-25Disclosure

   disclosure

1. 予約済み2026-03-12
2. 公開日2026-03-25
3. 更新日2026-04-29
4. EPSS 更新日2026-04-02

まず、OOPSpam Anti-Spamをバージョン1.2.63にアップデートすることが最も効果的な対策です。アップデートが直ちに困難な場合は、Webアプリケーションファイアウォール（WAF）やリバースプロキシを導入し、XSS攻撃を検知・防御するルールを設定してください。また、入力値のサニタイズやエスケープ処理を徹底し、ユーザーからの入力がWebページに適切に反映されるようにする必要があります。WAFの設定例として、<script>タグやイベントハンドラ属性を含むリクエストをブロックするルールを検討してください。