WR 株式会社WR 松戸のホームページ制作・社内システム・IT相談

株式会社WR

千葉県松戸市
松戸・柏・市川・流山・船橋 対応

ホーム›脆弱性情報›WordPressプラグイン›CVE-2026-109995

重要 CVSS 7.2 WordPressプラグイン CVE-2026-109995 公表 2026年10月27日

Advanced Views – Display Framework – Gutenberg/Elementor/Shortcodeに保存型XSSの脆弱性

Advanced Views – Display Framework – Gutenberg/Elementor/Shortcode — CVE-2026-109995

自分のサイトが該当するか無料診断 → 原文を見る（NVD（米国 脆弱性データベース））↗

どんな問題か

WordPressプラグインで、コメント欄の内容を十分にチェックせずに表示してしまう問題です。攻撃者が細工した文字を入れると、ページを開いた人の画面で勝手に動くスクリプトが実行されます。

放置するとどうなるか

サイトの表示が書き換えられたり、利用者を別サイトへ誘導されたりするおそれがあります。管理画面の操作をだまし取られ、被害が広がる可能性もあります。

今すぐやること

3.9.6 以前を使っているなら、修正版が出ていないか確認し、すぐ更新してください。更新できない場合は一時的に無効化し、コメント表示のあるページを制作会社・保守会社に点検してもらってください。

自分のサイトが該当するかの確認手順

  1. WordPressの管理画面にログインし、左メニュー「プラグイン」（またはテーマ）に Advanced Views – Display Framework – Gutenberg/Elementor/Shortcode があるか確認します。
  2. あれば、バージョン番号を見て「3.9.6 以前」に当てはまるか確認します。
  3. 当てはまる場合は「更新」ボタンで修正版へ。使っていないプラグインなら削除します。更新ボタンが出ない・怖くて押せない場合は、保守会社か当社へご相談ください。
原文（英語）を表示
The Advanced Views – Display Framework for Gutenberg & Elementor plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the 'comment' parameter in all versions up to, and including, 3.9.6 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. This vulnerability is exploitable even against pending or unapproved comments, as the plugin's get_comment() lookup applies no approval-status filter, meaning a payload executes for any visitor loading an avf-layout block bound to the attacker's comment ID before the comment is ever reviewed.

※ 解説は NVD（米国 脆弱性データベース） の公表内容をもとにAIが生成しています。対象バージョン・修正版などの正確な情報は、必ず原文をご確認ください。

無料で相談する →