DX Unanswered Comments <= 1.7 - 設定更新を介したクロスサイトリクエストフォージェリ

このXSRF脆弱性を悪用されると、攻撃者はWordPressサイトの管理者を欺き、DX Unanswered Commentsプラグインの設定を不正に変更できます。具体的には、承認されたコメントのリスト（dxucauthorslist）やコメント数（dxuccommentcount）を改ざんすることが可能です。これにより、サイトの表示内容や動作に予期せぬ影響が生じる可能性があります。攻撃者は、巧妙に偽装されたリンクをクリックさせることで、管理者の権限を悪用し、サイトのセキュリティを侵害する可能性があります。この種のXSRF攻撃は、他のWordPressプラグインやテーマにも存在する可能性があり、サイト全体のセキュリティリスクを高める要因となります。

WordPress websites utilizing the DX Unanswered Comments plugin, particularly those with administrative accounts that are susceptible to phishing or social engineering attacks, are at risk. Shared hosting environments where multiple websites share the same server resources could also be indirectly affected if one site is compromised and used to launch attacks against others.

• wordpress / composer / npm:

grep -r 'dxuc-unanswered-comments-admin-page.php' /var/www/html/wp-content/plugins/

• wordpress / composer / npm:

wp plugin list | grep "DX Unanswered Comments"

• wordpress / composer / npm:

wp plugin update --all

• generic web: Inspect the plugin's admin page source code for missing nonce attributes in forms.

1. 2026-04-21Disclosure

   disclosure

1. 予約済み2026-03-13
2. 公開日2026-04-21
3. 更新日2026-04-25
4. EPSS 更新日2026-04-29

CVE-2026-4138の軽減策として、まずDX Unanswered Commentsプラグインを最新バージョンに更新することが最も効果的です。もし更新が困難な場合は、WordPressのセキュリティプラグインを利用してXSRF攻撃を防御するWAFルールを適用することを検討してください。また、管理者が不審なリンクをクリックしないよう、セキュリティ意識の向上を図ることも重要です。プラグインのアップデートが完了したら、プラグインの設定が正常に機能しているか、および不正な変更がないかを確認してください。

アクティブインストール数

20

プラグイン評価