2026年3月12日～2026年3月18日に報告があったWordPressの脆弱性情報

こんにちは。GMOプライム・ストラテジーの相馬理紗です。

今回は、2026年3月12日～2026年3月18日に報告があったWordPressの脆弱性のうち、WordPressのプラグイン・テーマの脆弱性情報を公開しているWordfence が公開しているデータフィードより、以下の条件を満たすものを紹介します。

• WordPress.orgにおける“Active installations"が10万以上である
• 日本語の翻訳に対応している

• 

  WordPressに重大な脆弱性　Photo：PIXTA

深刻度が高い脆弱性:4件

深刻度が高い脆弱性は4件でした。

プラグイン: Post SMTP

3.8.0までの全バージョンに、event_type パラメータにおける入力値のサニタイズおよび出力時のエスケープ処理が不十分であることによる保存型クロスサイトスクリプティング（Stored Cross-Site Scripting）の脆弱性が存在します。

この脆弱性の悪用により、未認証の攻撃者がページへ任意のウェブスクリプトを挿入して、そのページにアクセスしたユーザーの環境でスクリプトを実行させることが可能となります。

この脆弱性は Post SMTP Pro プラグインがインストールされており、その Reporting and Tracking 拡張機能が有効化されている場合にのみ悪用可能です。

プラグイン: The Events Calendar

6.15.17までの全バージョンに、ajaxcreateimport 関数におけるパストラバーサルの脆弱性が存在します。投稿者以上の権限を持つユーザーで認証済みの場合に、この脆弱性を悪用してサーバ上の任意のファイルの内容を読み取ることが可能となり、機密情報が取得される可能性があります。

プラグイン: Checkout Field Editor (Checkout Manager) for WooCommerce

2.1.7までのすべてのバージョンにおいて、WooCommerceのBlock Checkout Store APIを通じて送信されるカスタムのradioフィールドおよびcheckboxgroupフィールドの値に起因する、保存型クロスサイトスクリプティング（Stored XSS）の脆弱性が存在します。

この問題は、class-thwcfd-block-order-data.phpに実装されたpreparesinglefielddata()メソッドの処理に起因します。本来、入力値はeschtml()によってエスケープされていますが、radioおよびcheckboxgroupフィールドタイプの場合に限り、htmlentitydecode()によって再度デコードされてしまいます。

さらに、getallowedhtml()で定義されるwp_kses()の許可リストにおいて、要素およびonchangeイベント属性が許可されていることも、この脆弱性を成立させる要因となっています。

この結果、未認証の攻撃者であっても、Store APIのチェックアウトエンドポイントを通じて任意のスクリプトを挿入することが可能となります。挿入されたスクリプトは注文データとして保存され、管理者が注文詳細ページを閲覧した際に実行される可能性があります。

プラグイン: Formidable Forms

6.28までのすべてのバージョンにおいて、支払いの整合性不備により決済を不正に回避できる脆弱性が存在します。

この問題は、Stripe Linkのリターン処理を担うhandleonetimestripelinkreturnurlが、支払い金額の検証を行わず、PaymentIntentのステータスのみを基に支払い完了と判定していることに起因します。さらに、verify_intent()関数がクライアントシークレットの所有確認にとどまり、特定のフォームや処理と結び付けた検証を行っていない点も要因となっています。

この結果、未認証の攻撃者であっても、低額決済に使用されたPaymentIntentを再利用することで、高額な支払いを完了済みとして扱わせることが可能となります。これにより、商品やサービスの代金を実質的に支払わずに取得されるおそれがあります。

他の脆弱性：12件

他の脆弱性は12件です。

プラグイン: Yoast Duplicate Post

この脆弱性を悪用することで、寄稿者以上の権限を持つユーザーで認証済みの場合に、本来アクセス権のない非公開投稿、下書き投稿、ゴミ箱内の投稿を含む任意の投稿を複製することが可能となります。さらに、投稿者以上の権限を持つユーザーで認証済みの場合に、Rewrite & Republish 機能を用いて公開済みの任意の投稿を自身の内容で上書きすることが可能となります。

プラグイン: Admin Menu Editor

未認証の攻撃者が、サイト管理者にリンクのクリックなどの操作を行わせることで、権限のない操作を実行することが可能となります。

プラグイン: Post SMTP

購読者以上の権限を持つユーザーで認証済みの場合に、細工されたURLを用いてサイトのOffice 365 OAuthメール設定（アクセストークン、リフレッシュトークン、ユーザーのメールアドレス）を上書きすることが可能となります。これらの設定はプラグインのPro版で利用可能なMicrosoft365 SMTPのセットアップウィザードで使用されるものであり、攻撃者が制御するAzureアプリを正規のものと誤認させ、管理者がPro版へアップグレード後の設定時に攻撃者のアカウントへ接続してしまう可能性があります。

プラグイン: Website Builder by SeedProd - Theme Builder, Landing Page Builder, Coming Soon Page, Maintenance Mode

未認証の攻撃者が、権限のない操作を実行することが可能となります。

プラグイン: Crowdsignal Forms

投稿者以上の権限を持つユーザーで認証済みの場合に、権限のない操作を実行することが可能となります。

プラグイン: Really Simple Security

購読者以上の権限を持つユーザーで認証済みの場合に、権限のない操作を実行することが可能となります。

プラグイン: Photo Gallery by 10Web

編集者以上の権限を持つユーザーで認証済みの場合に、ページへ任意のウェブスクリプトを挿入でき、そのページにアクセスしたユーザーの環境でスクリプトを実行させることが可能となります。なお、この脆弱性はマルチサイト環境および unfiltered_html が無効化されている環境にのみ影響を及ぼします。

プラグイン: Formidable Forms

未認証の攻撃者が、フィールドショートコードによる動的価格設定を使用するフォームにおいて、支払い完了前にPaymentIntentの金額を改ざんでき、商品やサービスの支払い金額を不正に減額することが可能となります。

プラグイン: Download Manager

購読者以上の権限を持つユーザーで認証済みの場合に、メールアドレス、表示名、登録日などを含む任意のユーザーの機密情報を取得することが可能となります。

プラグイン: WP Go Maps (formerly WP Google Maps)

購読者以上の権限を持つユーザーで認証済みの場合に、ページへ任意のウェブスクリプトを挿入でき、そのページにアクセスしたユーザーの環境でスクリプトを実行させることが可能となります。

プラグイン: WooCommerce

未認証の攻撃者が、サイト管理者にリンクのクリックなどの操作を行わせることで、権限のない操作を実行することが可能となります。

プラグイン: Page Builder Gutenberg Blocks

寄稿者以上の権限を持つユーザーで認証済みの場合に、ページへ任意のウェブスクリプトを挿入でき、そのページにアクセスしたユーザーの環境でスクリプトを実行させることが可能となります。

総括

今回の脆弱性は、未認証または低権限のユーザーでも悪用可能なものが多く、影響範囲の広さが懸念されます。特に、XSSや支払い処理の不備といった問題は、機密情報の漏えいや不正利用に直結するおそれがあります。

対象のプラグインを利用している場合は、速やかなアップデートに加え、不要なプラグインの削除や権限設定の見直しを徹底してください。

著者プロフィール

相馬理紗

WordPressのリーディングカンパニー「GMOプライム・ストラテジー株式会社」でマーケティングをしています。趣味は、お酒、サイクリング、ウェイトトレーニングです。当社はWordPressのプラグイン・テーマの脆弱性の情報をSecurity Advisory for WordPressでお伝えしています。