概要
CVE-2026-1945は、WordPressプラグイン「WPBookit」に存在する保存型クロスサイトスクリプティング（XSS）の脆弱性です。この脆弱性は、バージョン1.0.8およびそれ以前の全てのバージョンに影響を与えると報告されています。原因は、入力値の不適切なサニタイズ（無害化）と出力時のエスケープ処理の不足にあり、認証されていない攻撃者が「wpb_user_name」および「wpb_user_email」パラメータを介して任意のウェブスクリプトを注入できる可能性があります。
影響範囲
- WordPressプラグイン「WPBookit」のバージョン1.0.8およびそれ以前の全てのバージョン
想定される影響
この脆弱性が悪用された場合、攻撃者が注入した悪意のあるスクリプトが、脆弱なプラグインが有効なウェブサイトを訪問したユーザーのブラウザ上で実行される可能性があります。これにより、以下のような様々な攻撃につながる恐れがあります。
- セッションハイジャックによるユーザーアカウントの乗っ取り
- Cookie情報の窃取
- フィッシング詐欺への誘導
- ウェブサイトの改ざん
- マルウェアの配布
攻撃成立条件・悪用状況
攻撃成立条件
- WordPressサイトにWPBookitプラグインのバージョン1.0.8以前がインストールされ、有効になっていること。
- 認証されていない攻撃者が、特定の入力パラメータ（例:
wpb_user_name、wpb_user_email）に悪意のあるスクリプトを注入できること。
悪用状況
現時点では、この脆弱性が実際に悪用されているという具体的な情報は報告されていません。
推奨対策
優先度：高（今すぐできる対策）
- プラグインのアップデート: WPBookitプラグインを最新バージョンに更新してください。ベンダーから修正版がリリースされている場合は、速やかに適用することが最も効果的な対策です。
優先度：中（中長期的な対策）
- 入力値の検証とエスケープ処理の徹底: もし自社で同様のプラグインを開発している場合、全てのユーザー入力に対して適切なサニタイズ（無害化）と出力時のエスケープ処理を徹底してください。
- WAFの導入: Web Application Firewall (WAF) を導入し、XSS攻撃パターンを検知・ブロックする設定を適用することで、多層防御を強化できます。
一時的な緩和策
- プラグインの無効化または削除: 最新バージョンへのアップデートが困難な場合、WPBookitプラグインを一時的に無効化するか、使用していない場合は削除することを検討してください。ただし、これによりプラグインの機能が利用できなくなります。
- WAFによる保護の強化: WAFが導入されている場合、XSS攻撃に対するルールセットを強化し、不審なリクエストをブロックするよう設定してください。
確認方法
- プラグインのバージョン確認: WordPress管理画面にログインし、「プラグイン」→「インストール済みプラグイン」に移動してください。「WPBookit」プラグインのバージョンが1.0.8以下である場合、脆弱な可能性があります。