WordPressプラグイン「ManageWP Worker」に蓄積型クロスサイトスクリプティングの脆弱性

この脆弱性が悪用された場合、以下のような被害が想定されます。

プラグインでは、外部サービスからのリクエストが正当なものかを、署名（シグネチャ）による検証で確認しています。

問題となっていたのは、この検証に失敗した場合の処理です。プラグインは通信状況の記録として、リクエストに含まれていた値（鍵名やアルゴリズム名など）を「通信エラー情報」としてサイト内のオプションに保存しますが、この保存処理で入力値の無害化が行われていませんでした。さらに、この通信エラー情報を管理画面で表示する処理でも、HTMLとして安全に出力するためのエスケープが欠けていました。

本来、通信エラー情報は管理者自身が状況把握に使うための表示ですが、保存時と表示時の双方で安全対策が欠けていたため、外部から送り込まれた文字列がそのまま管理画面で出力され、ブラウザがスクリプトとして解釈してしまう状態になっていました。
対策版では、保存時の無害化処理と、表示時のエスケープ処理の双方が追加されています。

攻撃の流れ（概略）：

1. 攻撃者が、プラグインの通信エンドポイントに、〈省略〉を含むリクエストを送信する
2. 署名検証は失敗するが、その失敗処理の中で、リクエストに含まれていた値がそのままサイト内のオプションに保存される
3. 管理者がプラグインの接続情報ページを開いた際に、保存されていた値が無加工で画面に出力され、ブラウザがそれをスクリプトとして解釈・実行する

CWE-79 クロスサイトスクリプティング（XSS） 

該当バージョンのプラグインをご利用の場合、以下の対応を強く推奨します。

1. プラグインの更新
   • 速やかに、プラグインを対策バージョン（4.9.32 以降）へ更新してください。
2. 被害確認
   • 被害確認は、必ずプラグインを対策版に更新した後に行ってください。
     更新前に該当の管理画面を開くと、保存されているスクリプトがその時点で実行されるおそれがあります。
   • 更新後、WordPress管理画面でプラグインの接続情報（通信エラー情報）を表示するページを開き、通信エラー欄に不審な文字列（HTMLタグや <script> のような記述、意味のわからない長い文字列など）が表示されていないか確認してください。
   • 併せて、WordPress管理画面の「ユーザー」メニューから、身に覚えのない管理者権限ユーザーが追加されていないか確認することを推奨します。
3. 今後の予防策
   • 管理者アカウントでWordPressにログインしている間は、不審なリンクを開かない運用を徹底してください。
   • WAF（Web Application Firewall）の導入は、この種のリクエストを遮断する上で有効です。

⇒不審な表示や管理者の意図しない操作履歴が確認された場合は、WordPressの専門家などへの相談を推奨します。

ManageWP Worker 4.9.31 までのバージョン

CVE-2026-39463  / RESERVED（2026年4月24日 時点）

基本値: 7.2 (重要)  　[Wordfence]

－

（今後30日以内に悪用される確率 )