プラグイン名	名前ディレクトリ
脆弱性の種類	クロスサイトスクリプティング (XSS)
CVE番号	CVE-2026-3178
緊急	中くらい
CVE公開日	2026-03-14
ソースURL	CVE-2026-3178

緊急: Name Directoryプラグイン（≤ 1.32.1）における認証されていない保存型XSS — WordPressサイトオーナーが今すぐ行うべきこと

日付： 2026年3月12日
脆弱性: CVE-2026-3178
重大度： 中（CVSS 7.1）
影響を受けるバージョン: Name Directoryプラグイン ≤ 1.32.1
パッチ適用済み: 1.33.0

WP-Firewallチームと共に働くWordPressセキュリティ専門家として、私は率直に言いたい: この脆弱性は緊急に対処すべきです。1.33.0以前のName Directoryプラグインには、認証されていないユーザーがプラグインに悪意のある入力を送信できる認証されていない保存型クロスサイトスクリプティング（XSS）脆弱性が含まれており（具体的には名前フィールド）、これは保存され、十分な出力エスケープやフィルタリングなしに後で表示されます。実際には、これにより管理者や他の特権ユーザーが悪意のあるエントリを表示したときに保存型XSSが実行され、セッションの盗難からサイトの変更までの一連のポストエクスプロイトアクションを可能にします。.

以下では、この脆弱性が何であるか、なぜ重要であるか、現実的な攻撃シナリオ、悪用または悪用の試みを検出する方法、そして今すぐ適用できる段階的な緩和策 — WAF/仮想パッチレシピ、短期的なサーバーの強化、長期的なプラグイン開発のベストプラクティスを含めて説明します。.

注記： すぐにプラグインを1.33.0に更新できる場合は、まずそれを行ってください。ベンダーは1.33.0で修正を公開しました。すぐに更新できない場合（ステージング/互換性の懸念、カスタマイズ）、以下の緩和策に従ってください。.

エグゼクティブサマリー — 直ちに行うべきアクション

Name Directoryプラグインをバージョン1.33.0以上に更新してください — これにより脆弱性が除去されます。これは推奨される恒久的な修正です。.
すぐに更新できない場合:
- プラグインへの公開提出を無効にするか、パッチを適用できるまでプラグインを完全に削除してください。.
- プラグインのエンドポイントを標的とする悪意のあるペイロードをブロックするためにWAF/ファイアウォールルールを適用し、疑わしいペイロードパターンをブロックしてください。.
- プラグインの管理ページへのアクセスを信頼できるIP範囲に制限し、管理者が最新のブラウザとセキュリティ衛生を持つことを要求してください。.
- 最近のエントリとログをスキャンし、疑わしいコンテンツや不明なエントリをレビューしてください。.
侵害の疑いがある場合: サイトをオフラインにする（メンテナンス）、バックアップを取り、完全なマルウェア/フォレンジックスキャンを実施し、資格情報をローテーションし、インシデントレスポンス手順に従ってください（後で詳細を説明します）。.

脆弱性とは具体的に何ですか？

タイプ： 保存型クロスサイトスクリプティング（保存型 XSS）
トリガー： プラグインの「名前」フィールドへの認証されていないユーザー入力（フィールド名はしばしば name_directory_nameとして参照されます）は保存され、後で適切なエスケープなしにレンダリングされます。.
誰がトリガーできるか: 認証されていないユーザー — 提出エンドポイントに到達できる訪問者、ボット、または攻撃者を意味します。.
どのように実行されるか: 悪意のあるペイロードはサイトのデータベースに保存され、保存されたデータを表示するユーザーのブラウザで実行されます。通常は管理者や他の特権ユーザーです。保存されたコンテンツは表示ユーザーの特権コンテキストで実行されるため、アカウントの乗っ取り、設定の変更、または持続的なバックドアにつながる可能性があります。.
CVSS: 7.1 — 中程度、保存された性質と管理者が悪意のあるデータと対話した場合の高い影響の可能性を反映しています。.

根本的な原因は古典的です：プラグインは入力を受け入れ、それを保存しますが、保存された値をレンダリングする際に、HTMLコンテキスト用に出力を適切にエスケープまたはサニタイズすることに失敗します。保存されたXSSは特に危険で、再起動を生き延び、時間の経過とともに複数のユーザーに影響を与える可能性があります。.

現実的な攻撃シナリオ

隠れた管理者ターゲティング
攻撃者は、エンコードされたスクリプトやHTMLイベント属性を含む、一見無害に見える名前を提出します。管理者が後でその名前を含むディレクトリエントリやリストを開くと、ペイロードが管理者のブラウザでアクティブになり、管理者セッションでJavaScriptが実行されます。攻撃者はその後、管理者のブラウザを介してアクション（設定の変更、管理者ユーザーの作成、プラグインのインストール）を実行できます。.
低権限ユーザーのインタラクションによる大規模な妥協
保存されたペイロードは、特権のある任意のユーザー（サイト所有者だけでなく）をターゲットにします。エディターやモデレーターがアイテムを表示すると、そのセッションがハイジャックされるか、CSRFのような操作が実行され、エスカレーションが可能になります。.
永続的な改ざんまたはリダイレクト
ペイロードは訪問者をリダイレクトしたり、公開ページで保存された名前を再利用するページに注入されたコンテンツを挿入したりすることができ、サイトの評判や検索エンジンの結果に影響を与えます。.
ドライブバイ管理者クリック
一部のワークフローでは、特定のプラグインや管理者ページが自動的にディレクトリエントリをレンダリングします（例：ウィジェットのプレビュー）。これにより、管理者がページを訪れる以外に意図的な行動を取ることなく、悪用が可能になります。.

妥協の指標（IoC）— 何を探すべきか

次の兆候についてサイトをスキャンしてください：

疑わしいシーケンスを含む名前ディレクトリデータセットのエントリ： 、）パンくずリストをレンダリングするページや既知のプラグインエンドポイントの下にあるページをターゲットにします。, onerror=, オンロード=, ジャバスクリプト:, iframe, svg/onload, 、または < にデコードされる異常なHTMLエンティティのような <.
不明なユーザーやボットによってディレクトリに作成された予期しない新しいエントリ。.
異常な管理者活動ログ：管理者またはエディタ権限を持つ新しいユーザーアカウント、突然のプラグイン/テーマの変更、不明なスケジュールされたタスク（WP-Cron）、またはwp-contentへの予期しないファイル書き込み。.
管理者がディレクトリページを表示する際のブラウザアラート（ポップアップ、リダイレクト）。.
異常なペイロードを持つ提出を受け入れるエンドポイントへのPOSTを示すWebサーバーログ。.
奇妙な時間にサーバーから開始された外部接続またはDNSルックアップ。.

重要： 攻撃者はしばしばXSSペイロードを難読化するため（例：エスケープされた文字、分割された文字列、base64エンコーディング）、スキャン時には複数の検出アプローチ（生の文字列検索、デコード/正規化、正規表現パターン）を使用してください。.

即時の緩和措置（短期 / 緊急）

すぐに更新できない場合は、次の順序でこれらのアクションを実行してください：

1.33.0に更新する（可能であれば） — できるときはいつでもこれを最初に行ってください。.
Name Directoryプラグインへの公開/匿名の提出を無効にする：
- 認証されたユーザーのみに提出を制限するプラグイン設定を探してください。.
- そのようなトグルが存在しない場合は、ページからフロントエンドの提出フォームを一時的に削除するか、サーバールールを介して提出エンドポイントをブロックしてください。.
管理者アクセスを制限する:
- チームに固定IPがある場合は、IPホワイトリストを介してwp-adminおよびプラグイン管理ページへのアクセスを制限してください。.
- 管理者アカウントに対して二要素認証（2FA）を有効にしてください。.
CAPTCHAとレート制限でフォームを強化する：
- 自動的な悪用を制限するために、提出フォームにGoogle reCAPTCHAまたは他のCAPTCHAを追加してください。.
- 大量の試行をブロックするために、ウェブサーバー/プロキシレベルでレート制限を適用してください。.
WAF / 仮想パッチ：
- 疑わしいコンテンツをブロックするためのWAFルールを実装してください（以下の例）。.
- エンドポイントパスが知られている場合は、信頼できないソースからプラグイン提出エンドポイントへのPOSTリクエストをブロックしてください。.
スキャンしてクリーンアップ:
- 最近の提出をエクスポートし、疑わしいエントリを手動で確認してください。疑わしいエントリは削除または消毒してください。.
- フルマルウェアスキャンと脆弱性スキャンを実行してください。.
ログを確認し、資格情報をローテーションする：
- すべての管理者パスワードをローテーションし、最近追加された管理者レベルのユーザーを確認してください。.
- 露出した可能性のあるAPIキーまたはトークンをローテーションしてください。.

WP-Firewall仮想パッチルールの例

以下は、WAF（ModSecurity互換または同等）の追加可能なサンプルルールです。これは、公式プラグインの更新を待つ間にリスクを軽減するための仮想パッチとして意図されています。出発点として使用し、本番環境に適用する前にステージングで十分にテストしてください。.

重要： これらのブロックパターンは保守的です — 環境に合わせて正規表現と除外を微調整して、誤検知を減らしてください。.

例 ModSecurity ルール（ModSecurity v2/v3 構文）：

# 明らかなスクリプトタグとjavascript: URIを送信フィールドでブロック"

プラグインが既知のパスに投稿する場合（例えば /wp-admin/admin-ajax.php 特定のアクションを伴う場合）、ターゲットルールを追加できます：

# 知られているプラグインアクションへの疑わしいペイロードをブロック"

Nginx + Lua または OpenResty の例（擬似コード）：

-- nameフィールドのPOSTボディを検査

注:

これらのルールは防御的であり、リスクを減少させます。パッチを適用する代わりにはなりません。.
誤検知を避けるためにテストしてください — 一部の正当なユーザーは、エッジケースで句読点や角括弧を含む名前を使用する場合があります。.
疑わしいパターンに一致するリクエストをブロックするのではなく、最初の数時間はトラフィックを検証する間、アラートチャネルにログを記録することを検討してください。.

プラグイン開発者ガイダンス — これを修正する方法

プラグインを維持またはカスタマイズしている開発者の場合、正しい恒久的な修正は2つの部分から成ります：

提出時の適切な入力処理：
- 入力を保存する際に適切なサニタイズ関数を使用してください：
  - プレーンテキストの場合： テキストフィールドをサニタイズする() または テキストエリアフィールドをサニタイズする() 保存する前に。.
  - 限定されたHTMLの場合：使用 wp_kses() 許可されたタグと属性の明示的なホワイトリストを伴って。.
例（サーバーサイド）：
```
<?php
```
保存された値を出力する際の適切なコンテキスト対応エスケープ：
- 使用 esc_html() HTMLテキストノードに出力する際。.
- 使用 esc_attr() 属性に出力する場合。.
- 使用 wp_kses_post() または wp_kses() 必要に応じて安全なサブセットHTML。.
例（レンダリング）：
```
<?php;
```
また:
- 管理者アクションの能力チェックとノンスを確認する。.
- 不要な場合は匿名の提出能力を制限する。.
- 生の、サニタイズされていない値をどこでも（管理者またはフロントエンド）エコーしない。.

ログやDBでの悪用試行を検出する方法

疑わしいPOSTの時間帯に追加されたレコードをデータベースにクエリする。HTMLタグやエンコードされたシーケンスを探す。例SQL（安全な管理インターフェースまたはWP-CLI経由で実行）：

SELECT ID, post_title, post_content;

高エントロピーのペイロードや多くの非英数字文字を含むPOSTリクエストのウェブサーバーログを検査する。.
文字列のサイト全体検索を使用する onerror=, ジャバスクリプト:, <svg, <iframe, 、または異常なエンコードされたスニペット（%3C, <).

疑わしいエントリを見つけた場合、それらを潜在的な侵害ポイントとして扱う。エントリを削除または無効化（例：ペイロードをサニタイズされたプレーンテキストに置き換える）し、以下のインシデント対応手順に従う。.

インシデント対応チェックリスト（悪用の疑いがある場合）

サイトをメンテナンスモードにする（可能であればオフラインにする）。.
変更を加える前に完全バックアップ（ファイル + データベース）を取る。.
プラグインをすぐにバージョン1.33.0に更新する（またはプラグインを削除する）。.
サイトに保存されているすべての管理者パスワードおよびAPIキーまたはトークンをローテーションします。.
不明な管理者ユーザーを確認し、削除します。.
複数のマルウェアスキャナーおよび脅威インテリジェンスフィード（ファイル整合性およびcron/タスクチェックを含む）でサイトをスキャンします。.
永続メカニズムを確認します：
- 不明なスケジュールされたタスク（WP-Cron）。.
- テーマ/プラグインディレクトリ内の変更されたファイル。.
- // 信頼できる権限を持つユーザーのみを許可します（例：manage_options） mu-プラグイン.
- 新しいまたは変更された .php アップロードまたはキャッシュディレクトリ内のファイル。.
ファイルの改ざんが疑われる場合は、公式ソースからコアWordPress、テーマ、およびプラグインを再インストールします。.
繰り返しの試行に対してログを注意深く監視し、WAFルールとレート制限を実装します。.
高価値データが関与している場合や横移動が疑われる場合は、完全なフォレンジック分析を検討します。.

ディレクトリ/提出プラグインを実行しているサイトの長期的な強化。

匿名の書き込みアクセスを制限します：公開ビューを許可しますが、エントリを提出するには認証を必要とします。.
すべての場所で厳格な入力検証と文脈に適したエスケープを適用します。.
公開提出フォームにはCAPTCHAとレート制限を使用します。.
WordPressコア、プラグイン、およびテーマの定期的なパッチ適用のリズムを維持します。.
最小特権アカウントを使用します：管理者アカウントは少なく、監査され、2FAで保護されるべきです。.
異常な管理者活動のためにログ記録とアラートを有効にします。.
可能な限り反射型/保存型XSSの影響を減らすために、強力なコンテンツセキュリティポリシー（CSP）ヘッダーを強制します。.
ベンダーパッチが適用される前に保護を得るために、仮想パッチ機能を持つWAFを使用します。.
オフサイトバックアップを自動化し、復元手順を定期的にテストします。.

実用的な例 — より安全なフィルタリングとレンダリング。

例: 安全な保存 (サーバーサイド):

$name_raw = isset($_POST['name_directory_name']) ? wp_unslash( $_POST['name_directory_name'] ) : '';

例: 安全なレンダリング (ビュー):

$name = get_post_meta( $entry_id, '_name_directory_name', true );

限定的なHTMLを許可する必要がある場合、特定のタグをホワイトリストに追加します:

$allowed = array(;

このような脆弱性に対してWAFが重要な理由

WAF（Webアプリケーションファイアウォール）は、サイトの前に即時に設定可能な保護を提供します。これにより:

既知のエクスプロイトパターンをブロックします（例: フォームフィールド内のスクリプトタグ）。.
悪用されるIPを制限またはブロックします。.
公式のパッチが利用可能になるまで、既知のプラグインの問題を悪用するのを防ぐために仮想パッチを適用します。.
試みをログに記録し、迅速に行動できるようにアラートを提供します。.

WP-Firewallの管理されたWAFは、ルールベースの保護と仮想パッチを提供し、互換性やテスト要件のためにすぐに更新できないサイトにとって特に価値があります。.

検出と監視の推奨事項

脆弱性が公開された後の一定期間、詳細なリクエストログを有効にします（プライバシーに配慮）。.
アラートを設定する:
- 含まれるPOSTリクエスト <script または一般的なXSSパターン。.
- ディレクトリエンドポイントへの送信の急激な増加。.
- プラグインファイルの変更や不明なファイルの書き込み。.
最近の送信を定期的にエクスポートし、異常なパターンを監査します。.
ステージング環境を使用して、安全に攻撃を再現し検証します（本番環境で悪意のあるペイロードをテストしないでください）。.

セキュリティ専門家に依頼すべき時はいつですか？

妥協の指標（不明な管理者の作成、変更されたファイル、予期しない外向き接続）を見つけた場合。.
サイトが高価値のターゲットである場合（eコマース、メンバーシップ、クライアントデータ）。.
完全なフォレンジックスキャンと修復を行う時間やツールが不足している場合。.
偽陽性を避けるためにWAF/仮想パッチの作成とテストを手伝ってほしい場合。.

資格のあるWordPressインシデントレスポンダーまたはセキュリティサービスは、深いクリーンアップを行い、整合性を回復し、将来の問題に対してサイトを強化する手助けができます。.

訪問者と管理者を保護する — UXと教育

管理チームに脆弱性について通知し、サイトがパッチされるまで不明なディレクトリエントリの表示を避けるように依頼します。.
管理者にセキュリティ緩和策をサポートする最新のブラウザを使用し、2FAを有効にするよう促します。.
サイトの編集者や寄稿者に、知らないソースからのコンテンツを開く危険性について教育します。.

数分でサイトを保護 — WP-Firewall無料プランを試してみてください

サイトを更新および監査している間、即時の手間のかからない保護を希望する場合は、WP-Firewall Basic無料プランを検討してください。管理されたファイアウォール、堅牢なWAF、無制限の帯域幅、マルウェアスキャン、OWASP Top 10リスクの緩和など、サイトの基本的なセキュリティを瞬時に向上させるために必要なすべてが含まれています。サインアップは数分で完了し、仮想パッチと自動ルールがリスクをどのように軽減するかをテストしながら更新の準備ができます。今すぐ無料保護を開始してください： https://my.wp-firewall.com/buy/wp-firewall-free-plan/

（より積極的な自動化を希望する場合：Standardは小額の年会費で自動マルウェア除去とIPのブラック/ホワイトリストを追加し、Proは月次セキュリティレポート、自動仮想パッチ、およびプレミアム管理サービスを含みます。）

終了ノート — 優先チェックリスト

Name Directoryプラグインを1.33.0に即座に更新してください（恒久的な修正）。.
今すぐ更新できない場合は、匿名の提出を無効にし、XSSのようなペイロードをブロックするWAFルールを適用します。 名前 フィールド。.
最近の提出をレビューし、疑わしいエントリを削除します。.
管理者の資格情報をローテーションし、2FAを有効にします。.
完全なマルウェアスキャンを実行し、再試行のログを監視します。.
提出フローを強化します（CAPTCHA、レート制限、サニタイズ）。.
トリアージとテストを行っている間に時間を稼ぐために、管理されたWAF/仮想パッチサービスにサインアップすることを検討してください。.

WAFルールの実装、サイトのスキャン、または悪用の兆候を示すログやエントリのレビューに関して支援が必要な場合は、WP-Firewallのセキュリティチームがサポートできます。最も迅速で信頼性の高い保護は、タイムリーなソフトウェアの更新を管理されたWAFと強力な運用衛生と組み合わせることです。.

安全を保ち、今すぐプラグインを更新してください。.

Name Directory プラグインの重大な XSS リスク//公開日 2026-03-14//CVE-2026-3178

緊急: Name Directoryプラグイン（≤ 1.32.1）における認証されていない保存型XSS — WordPressサイトオーナーが今すぐ行うべきこと

エグゼクティブサマリー — 直ちに行うべきアクション

脆弱性とは具体的に何ですか？

現実的な攻撃シナリオ

妥協の指標（IoC）— 何を探すべきか

即時の緩和措置（短期 / 緊急）

WP-Firewall仮想パッチルールの例

プラグイン開発者ガイダンス — これを修正する方法

ログやDBでの悪用試行を検出する方法

インシデント対応チェックリスト（悪用の疑いがある場合）

ディレクトリ/提出プラグインを実行しているサイトの長期的な強化。

実用的な例 — より安全なフィルタリングとレンダリング。

このような脆弱性に対してWAFが重要な理由

検出と監視の推奨事項

セキュリティ専門家に依頼すべき時はいつですか？

訪問者と管理者を保護する — UXと教育

数分でサイトを保護 — WP-Firewall無料プランを試してみてください

終了ノート — 優先チェックリスト

WP Security Weeklyを無料で受け取る 👋
今すぐ登録!!

無料のWordPressセキュリティコンサルテーションをご予約いただくには、お問い合わせください。

Name Directory プラグインの重大な XSS リスク//公開日 2026-03-14//CVE-2026-3178

緊急: Name Directoryプラグイン（≤ 1.32.1）における認証されていない保存型XSS — WordPressサイトオーナーが今すぐ行うべきこと

エグゼクティブサマリー — 直ちに行うべきアクション

脆弱性とは具体的に何ですか？

現実的な攻撃シナリオ

妥協の指標（IoC）— 何を探すべきか

即時の緩和措置（短期 / 緊急）

WP-Firewall仮想パッチルールの例

プラグイン開発者ガイダンス — これを修正する方法

ログやDBでの悪用試行を検出する方法

インシデント対応チェックリスト（悪用の疑いがある場合）

ディレクトリ/提出プラグインを実行しているサイトの長期的な強化。

実用的な例 — より安全なフィルタリングとレンダリング。

このような脆弱性に対してWAFが重要な理由

検出と監視の推奨事項

セキュリティ専門家に依頼すべき時はいつですか？

訪問者と管理者を保護する — UXと教育

数分でサイトを保護 — WP-Firewall無料プランを試してみてください

終了ノート — 優先チェックリスト

WP Security Weeklyを無料で受け取る 👋今すぐ登録!!

無料のWordPressセキュリティコンサルテーションをご予約いただくには、お問い合わせください。

WP Security Weeklyを無料で受け取る 👋
今すぐ登録!!