概要
wpForo Forum 2.4.14において、保存型クロスサイトスクリプティング（Stored XSS）の脆弱性（CVE-2026-28560）が報告されています。この脆弱性は、フォーラムのURLデータがインラインスクリプトブロックに出力される際に、JSONエンコーディングが不適切であるために発生します。具体的には、json_encode関数がJSON_HEX_TAGフラグなしで使用されていることが原因とされています。
影響範囲
- wpForo Forum 2.4.14
想定される影響
攻撃者は、細工されたフォーラムスラッグ（URLの一部）を設定することで、JavaScriptの文字列コンテキストから脱出し、任意のスクリプトを注入する可能性があります。
これにより、サイトを訪問したユーザーのブラウザ上で、攻撃者が用意した悪意のあるスクリプトが実行される恐れがあります。
想定される被害としては、セッションハイジャック、個人情報の窃取、フィッシングサイトへの誘導、マルウェアのダウンロードなどが挙げられます。
攻撃成立条件・悪用状況
攻撃者は、フォーラムスラッグに閉じタグ（</script>）やエスケープされていないシングルクォート（'）を含む文字列を設定する必要があります。
これにより、インラインスクリプトブロック内でJavaScriptの文字列が途中で終了し、その後に続く攻撃者のスクリプトが実行されることになります。
現在のところ、この脆弱性の具体的な悪用状況については、提供された情報からは不明です。
推奨対策
優先度：高
- wpForo Forumのアップデート: 開発元から提供される修正パッチや最新バージョンへの速やかなアップデートを強く推奨します。脆弱性が修正されたバージョンがリリースされ次第、適用してください。
優先度：中
- 入力値の厳格な検証とサニタイズ: フォーラムスラッグを含むユーザーからの入力値は、サーバー側で厳格に検証し、不適切な文字やスクリプトコードを除去（サニタイズ）する処理を徹底してください。特に、HTMLタグやJavaScriptコードとして解釈されうる特殊文字は適切にエスケープする必要があります。
- セキュリティプラグインの導入: WordPressのセキュリティを強化するプラグイン（例: WAF機能を持つもの）の導入を検討し、XSS攻撃からの保護を強化してください。
一時的な緩和策
wpForo Forumのアップデートがすぐに適用できない場合、WAF（Web Application Firewall）を導入し、XSS攻撃パターンに合致するリクエストをブロックするよう設定することで、一時的な緩和が期待できます。ただし、これは根本的な解決策ではありません。
確認方法
現在使用しているwpForo Forumのバージョンが2.4.14であるかを確認してください。管理画面やプラグイン情報からバージョン情報を確認できる場合があります。
また、開発元からの公式発表やセキュリティアドバイザリを定期的に確認し、脆弱性に関する追加情報や修正バージョンのリリース状況を把握することが重要です。