CVE-2026-107759 WordPressプラグイン「WPO365」件名パラメータStored XSS脆弱性
この記事はAIがNVDのCVE情報をもとに要約・生成したものです。影響範囲や対策は、必ずNVDおよび各ベンダーの公式情報をご確認ください。
WordPressプラグイン「WPO365 | MICROSOFT 365 GRAPH MAILER」のバージョン6.2以下のすべての実装において、メール送信時の「件名」パラメータで不適切な入力検証が行われていないため、認証不要で任意のスクリプトをページに注入できるStored XSSの脆弱性が確認されています。この脆弱性により、ユーザーが特定のページにアクセスするたびに悪意のあるスクリプトが実行される可能性があり、セッションハイジャックやデータ漏洩のリスクが生じます。WordPressサイトを運用するLinuxサーバーでは、該当プラグインがインストールされている場合、バージョン確認とパッチ適用の検討が求められます。また、Graph Mailerが有効かつOAuth認証が未完了（プラグインアクティベート後の初期状態）である環境では、特に注意が必要です。確認時には、メール送信機能を通じた件名パラメータの入力チェックと、OAuth設定の完了状況を確認してください。
- NVD Detail (NVD) [日本語で表示]
ソクラテスの問い、プラトンの備え
プラトンよ、この脆弱性について語ってみよ。ユーザーがアクセスするたびに悪意のスクリプトが実行されるという点では、倫理的責任が問われるだろう。だが、Linux運用者としての観点では何が重要か？
まず、このプラグインがインストールされているか確認し、そのバージョンをチェックする必要があります。6.2以下の場合は、パッチが提供されているか調べるべきです。また、OAuth認証が完了しているかを確認するのも重要です。メール送信機能を通じた件名パラメータの検証が不十分な状態では、リスクが高まります。
では、この脆弱性が発生する条件は？
Graph Mailerが有効で、OAuthが未完了の状態である場合です。つまり、プラグインをインストールした直後の初期状態が特に危険です。この点を変更管理の文書に記録し、監視設定に組み込むべきでしょう。
CVSSスコア7.2という高深刻度だが、具体的な影響調査の方法は？
攻撃者が挿入したスクリプトが実行される可能性があるため、サイト内のメール送信フォーム（例えばContact Form 7）をテストし、不正なスクリプトが挿入されていないかを確認する必要があります。また、アクセスログを監視し、異常なリクエストを追跡してください。
最後に、ベンダー情報の確認は？
公式サイトやWordPressプラグインリポジトリで最新のパッチ情報を確認し、開発者からのアナウンスを定期的にチェックしましょう。この脆弱性は、PHPとWordPressの両方に影響を与えるため、セキュリティアップデートの履歴を厳密に管理する必要があります。
では、このプラグインの名前「WPO365 | MICROSOFT 365 GRAPH MAILER」は、口にすると舌を噛みそうな名前だが、運用者はその名前を忘れないでおくべきか？
もちろんです。名前を覚えることで、誤って類似のプラグインをインストールするリスクを減らせるでしょう。そして、この脆弱性は、セキュリティの「手綱」をしっかり握る運用者の責任にかかっているのです。
関連キーワード: php, wordpress