製品・ソフトウェアに関する情報
脆弱性検索
WordPress.orgのWordPress等の複数製品におけるクロスサイトスクリプティングの脆弱性
タイトル WordPress.orgのWordPress等の複数製品におけるクロスサイトスクリプティングの脆弱性
概要

WordPress Coreには、表示名の出力エスケープが不十分な問題があり、バージョン6.5.2までのさまざまなバージョンでアバターブロックのユーザー表示名を通じて保存型クロスサイトスクリプティング（Stored XSS）の脆弱性が存在します。この脆弱性の影響により、認証済みの攻撃者（投稿者レベル以上）は任意のWebスクリプトをページへ注入でき、注入されたページにユーザーがアクセスするたびにスクリプトが実行される可能性があります。さらに、コメントブロックが含まれていてコメント著者のアバターを表示するページでは、未認証の攻撃者も任意のWebスクリプトを注入することができます。

想定される影響 当該ソフトウェアが扱う情報の一部が外部に漏れる可能性があります。 また、当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。 さらに、当該ソフトウェアは停止しません。 そして、この脆弱性を悪用した攻撃により、他のソフトウェアにも影響が及ぶ可能性があります。 
対策

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

公表日 2024年5月3日0:00
登録日 2026年1月7日18:25
最終更新日 2026年1月7日18:25
CVSS3.0 : 警告
スコア 6.1
ベクター CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N
影響を受けるシステム
WordPress.org
WordPress 6.0 から 6.0.7
WordPress 6.1 から 6.1.5
WordPress 6.2 から 6.2.4
WordPress 6.3 から 6.3.3
WordPress 6.4.0 から 6.4.3
WordPress 6.5 から 6.5.1
CVE (情報セキュリティ 共通脆弱性識別子)
CWE (共通脆弱性タイプ一覧)
ベンダー情報
その他
変更履歴
No 変更内容 変更日
1 [2026年01月07日]
  掲載		 2026年1月7日18:25
NVD脆弱性情報
CVE-2024-4439
概要

WordPress Core is vulnerable to Stored Cross-Site Scripting via user display names in the Avatar block in various versions up to 6.5.2 due to insufficient output escaping on the display name. This makes it possible for authenticated attackers, with contributor-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. In addition, it also makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that have the comment block present and display the comment author's avatar.

公表日 2024年5月3日15:15
登録日 2024年5月3日20:00
最終更新日 2024年11月21日18:42
関連情報、対策とツール
共通脆弱性一覧