WordPressプラグイン「TranslatePress」にクロスサイトスクリプティングの脆弱性

この脆弱性が悪用された場合、以下のような被害が想定されます。

TranslatePressは、翻訳する文字列を特定するために、ページの内容を「目印（マーカー）」で囲んだうえで処理を行い、ページを表示する直前にその目印を取り除いています。

本脆弱性は、この目印を取り除く範囲の指定が緩やかだった点が原因です。開始の目印から終了の目印までの間にある文字を、種類を問わずすべて削除する仕組みになっていたため、離れた位置に2つの目印が置かれた場合、その間にあったHTMLの区切り記号までもがまとめて削除されていました。

さらに、この目印はURLで使われる形式（英数字と記号のみ）で書くこともできます。この形式には、WordPressがコメントを保存する際に危険なタグや属性を取り除く仕組み（サニタイズ処理）が問題視する文字が含まれないため、チェックを通過してそのまま保存されていました。

攻撃の流れを整理すると、以下のようになります。

• 攻撃者が、目印を含む文字列をコメント欄から投稿する（この時点では無害な文字列として保存される）
• コメントが公開され、そのページが表示される
• 目印を取り除く処理が働き、削除された箇所を挟んでHTMLの断片が結合される
• 結合によって組み上がった内容が、閲覧者のブラウザで解釈される

つまり、保存時のチェックを通過した後に内容が組み替わるため、チェックをすり抜けてしまう状態でした。
対策版（3.3）では、目印を取り除く際に削除される範囲が、引用符などのHTMLの区切り記号を越えないよう限定されました。

CWE-79 クロスサイトスクリプティング（XSS） 

該当バージョンのプラグインをご利用の場合、以下の対応を強く推奨します。

1. プラグインの更新
   • 速やかに、プラグインを対策バージョン（3.3 以降）へ更新してください。
2. 被害確認（更新後に実施してください）
   • 更新の適用後、WordPress管理画面の「コメント」を開き、
     検索欄に「trpst」と入力して検索してください。
     通常のコメントにこの文字列が含まれることはないため、ヒットしたコメントは細工されたものである可能性があります。
   • 「承認待ち」「ゴミ箱」「スパム」の各タブも同様に確認してください。
     承認待ちのまま残っているコメントは、承認すると影響が生じます。
   • 該当するコメントが見つかった場合は、承認せずに削除してください。
   • ※更新前に該当コメントが表示されているページを閲覧すると、その時点で影響を受ける可能性があります。
     確認は必ず更新後に行ってください。
3. 今後の予防策
   • コメント機能を利用していない場合は、WordPressの設定でコメントの受け付けを停止しておくことで、この経路による影響を避けられます。
   • WAF（Web Application Firewall：不正な通信を検知・遮断する仕組み）を導入している場合でも、本脆弱性で投稿される文字列は英数字と記号のみで構成され、スクリプトを含む一般的な攻撃パターンとは異なるため、検知されない可能性があります。
     根本的な対策となるプラグインの更新を優先してください。

⇒不審なコメントが確認された場合は、WordPressの専門家などへの相談を推奨します。

TranslatePress – Translate Multilingual sites with AI Translation 3.2.6 までのバージョン

CVE-2026-18510
（公開日 2026年8月6日 更新日 2026年8月6日）

基本値: 7.2 (重大)  　[Wordfence]

CVE-2026-18510 悪用確率 0.24% （上位84%） 2026年8月12日時点 

（今後30日以内に悪用される確率 )