説明

JSM Show Post Metadata WordPress プラグインの 4.9.1 より前のバージョンでは、管理者向けメタボックス内のインラインイベントハンドラー属性に投稿メタキーを出力する前に適切にエスケープしていません。これにより、contributor レベル以上のアクセス権を持つユーザーが任意の JavaScript を注入でき、影響を受ける投稿をレビューするより高い権限を持つユーザーのセッションで実行されます（Stored XSS）。

影響を受ける製品

脆弱性の種類

• 種類: Stored Cross-Site Scripting (XSS)
• ベクター: カスタムフィールドのメタキーがインラインイベントハンドラー属性にエスケープされずにレンダリングされる
• 必要な権限: Contributor 以上
• 影響: より高い権限を持つユーザーのセッションでの JavaScript 実行（例: 投稿をレビューする編集者/管理者）

修復

JSM Show Post Metadata プラグインをバージョン 4.9.1 以降に更新してください。

クレジット

• 発見者: pervinzahidli
• コーディネーター: WPScan

参考資料

• WPScan アドバイザリ — エクスプロイト、VDB エントリ、技術的説明

出典: WPScan (CNA) — CVE-2026-88997 の CVE レコード