概要
WordPress向けプラグイン「Hammas Calendar」において、保存型クロスサイトスクリプティング（Stored Cross-Site Scripting, Stored XSS）の脆弱性（CVE-2026-1902）が報告されました。この脆弱性は、入力値の不適切なサニタイズ（無害化）と出力時のエスケープ処理の不足に起因するものです。
影響範囲
- 対象製品: WordPressプラグイン「Hammas Calendar」
- 対象バージョン: バージョン1.5.11およびそれ以前の全てのバージョン
- 脆弱性の箇所: ‘hp-calendar-manage-redirect’ショートコード内の’apix’パラメータ
想定される影響
この脆弱性が悪用された場合、認証された攻撃者（後述の条件を満たす者）は、ウェブページに任意のスクリプトを注入する可能性があります。注入されたスクリプトは、そのページにアクセスしたユーザーのブラウザ上で実行されることになります。これにより、以下のような被害が発生する恐れがあります。
- セッションハイジャックによるユーザーアカウントの乗っ取り
- ウェブサイトの改ざん
- 悪意のあるコンテンツの表示
- フィッシングサイトへの誘導
- 機密情報の窃取
攻撃成立条件・悪用状況
- 攻撃成立条件: 攻撃には、Contributor（投稿者）以上の権限を持つ認証済みユーザーアカウントが必要です。
- 悪用状況: 現時点では、この脆弱性が実際に悪用されているという具体的な報告は確認されていません。
推奨対策
今すぐできる対策
- プラグインのアップデート: 「Hammas Calendar」プラグインの最新バージョンがリリースされている場合は、速やかにアップデートを適用してください。開発元からの修正パッチの有無を定期的に確認することが重要です。
- 代替プラグインの検討: もし修正版が提供されていない場合や、プラグインの利用が必須でない場合は、一時的にプラグインを無効化するか、代替となる安全なカレンダープラグインへの移行を検討してください。
中長期的な対策
- WordPressおよび全プラグインの定期的な更新: WordPress本体および使用している全てのテーマ、プラグインを常に最新の状態に保つことを習慣化してください。
- 最小権限の原則: ユーザーには業務上必要な最小限の権限のみを付与し、Contributor以上の権限を持つユーザーアカウントの管理を厳格化してください。
- セキュリティスキャンの実施: 定期的にウェブサイトの脆弱性スキャンを実施し、潜在的なリスクを早期に発見する体制を構築してください。
一時的な緩和策
直ちにアップデートが困難な場合、または修正版が未提供の場合には、以下の緩和策を検討してください。
- 「Hammas Calendar」プラグインを一時的に無効化する。
- Contributor以上の権限を持つユーザーが信頼できる人物に限定されているか確認し、不必要なアカウントは削除または権限を降格する。
確認方法
ご自身のWordPressサイトで「Hammas Calendar」プラグインがインストールされているか、またそのバージョンを確認してください。WordPressの管理画面から「プラグイン」→「インストール済みプラグイン」で一覧を確認できます。