Mandatory Field Pluginの重大なXSS脆弱性//2026年3月23日公開//CVE-2026-1278

WP-FIREWALL セキュリティチーム

WordPress Mandatory Field Plugin CVE-2026-1278

プラグイン名 WordPress必須フィールドプラグイン
脆弱性の種類 クロスサイトスクリプティング (XSS)
CVE番号 CVE-2026-1278
緊急 低い
CVE公開日 2026-03-23
ソースURL CVE-2026-1278

脅威概要 — CVE-2026-1278: 必須フィールドWordPressプラグインにおける保存型XSS (<= 1.6.8)

日付： 2026年3月23日
重大度： 低 (CVSS 5.9) — 悪意のあるペイロードを書き込むためには管理者権限が必要です。.
影響を受けるバージョン: 必須フィールドプラグイン <= 1.6.8
タイプ： 認証済み (管理者+) 保存型クロスサイトスクリプティング (XSS)

まとめ： 必須フィールドプラグイン (バージョン <= 1.6.8) には保存型XSSの脆弱性が存在し、JavaScriptペイロードをプラグイン設定に保存し、後に管理コンテキストで実行される可能性があります。悪用には認証された管理者が関与する必要があるため（ペイロードを書き込むか、行動を取るように騙される）、実際のリスクは低減されますが、管理ページでの成功した保存型XSSの結果は重大なものになる可能性があります（資格情報の盗難、セッションハイジャック、新しい管理ユーザーの作成、永続的なバックドアの注入）。このアドバイザリーでは、何が起こったのか、なぜ重要なのか、悪用の兆候を検出する方法、そして今すぐ緩和する方法（迅速な仮想パッチアプローチや長期的な開発者修正を含む）を説明します。.

何が起こったか (平易な言葉)

プラグインは設定値をデータベースに保存し、その後、十分な出力エスケープやフィルタリングなしにWordPress管理インターフェースでそれらの値をレンダリングします。これにより、設定を保存する能力を持つ攻撃者がHTML/JavaScriptを含むペイロードを持続させることができます。アプリケーションが後に管理UI（または管理者や他の特権ユーザーがそれを表示する別のコンテキスト）で保存された値をレンダリングすると、ブラウザはスクリプトを実行します。管理者のブラウザはしばしば高い能力を持つため（ログインクッキー、REST APIアクセス）、影響は通常のフロントエンドXSSよりも大きくなる可能性があります。.

重要な事実：

  • 脆弱性はプラグイン設定フィールドにおける保存型XSS（永続的）です。.
  • 注入された設定を作成または変更するには、認証された管理者レベルのアクセスが必要です（または管理者を騙して行動を取らせる必要があります）。.
  • 脆弱性は、プラグインの上流がパッチリリースを公開したときのみ修正されます。この執筆時点では、影響を受けたバージョンに対する公式のベンダーパッチはありません。.
  • 緩和は、アクセスの強化、入力/出力のフィルタリング、ファイアウォール/WAF層での強制（仮想パッチ）を通じて直ちに可能です。.

なぜこれが重要なのか（簡単な脅威モデル）

管理エリアにおける保存型XSSはリスクが高いです。

  • 管理者は王国の鍵を持っています。管理者ブラウザで実行されたスクリプトは、RESTエンドポイントを呼び出したり、ユーザーを作成したり、コンテンツを公開したり、プラグインファイルを変更したり、クッキーやノンスを外部に流出させたりすることができます。.
  • 保存型XSSは永続的です：悪意のあるコードはページのリロードを生き延び、影響を受けた管理ページが表示されるたびに実行されます。.
  • 攻撃シナリオには以下が含まれます：
    • 権限の低いアカウントが昇格されるか、管理アクセスを持つ悪意のある開発者/契約者がペイロードを注入します。.
    • ソーシャルエンジニアリング/フィッシング：管理者を騙して設定フィールドにコンテンツを貼り付けさせたり、プラグインをインストールさせたり、脆弱性を引き起こすように仕組まれたURLをクリックさせたりします。.
    • すでに侵害された管理者アカウントが攻撃者によって使用され、サイト全体に持続的なスクリプトが植え付けられます。.

攻撃者が管理者を関与させる必要がある（または管理者アカウントを侵害する必要がある）にもかかわらず、この脆弱性は攻撃者が管理者レベルの足場を持った場合に与える損害を増幅させます。.

迅速な推奨アクション（要約 — まずこれを行う）

  1. 新しいプラグインバージョンが利用可能な場合は、すぐにパッチが適用されたリリースに更新してください。利用できない場合は、以下の緩和策に従ってください。.
  2. 管理者アカウントをレビューし、強化します：管理者パスワードをローテーションし、2FAを強制し、アクティブな管理者を監査し、未使用のアカウントを削除します。.
  3. Webアプリケーションファイアウォール（WAF）を介して仮想パッチを適用し、ペイロードが保存または提供されるのを防ぎます（以下の例）。.
  4. プラグインオプションや設定における疑わしい値をデータベースで検索し、クリーンアップします（まずDBをバックアップしてください）。.
  5. ログを監査し、ウェブシェルや悪意のあるファイルをスキャンし、広範な改ざんが見つかった場合はクリーンバックアップから復元します。.
  6. プラグインの設定ページへのアクセスを制限します（IP許可リストまたは信頼できる管理者IPへのアクセスを制限）。.
  7. 緩和策を講じた後、疑わしい管理ページのリクエストや新しいユーザー作成を監視します。.

管理されたセキュリティサービスやWAF（当社のWP‑Firewallサービスの無料プランを含む）を運営している場合は、サイトを保護し、上流のパッチを待っている間に仮想パッチルールをすぐに有効にします。.

技術的詳細（内部で何が起こっているか）

  • 脆弱性クラス：ストレージ型クロスサイトスクリプティング（XSS）。.
  • 影響を受ける入力：プラグイン設定フィールド（オプション/オプションページ）。.
  • 根本原因：保存された設定がHTMLに戻される際の不十分なサニタイズとエスケープの欠如。プラグインはオプション値を管理UIにエコーする際にサニタイズを行わないか、安全でない出力方法を使用します。.
  • 要件：プラグインオプションを作成または更新する能力 — 通常は管理者の権限（manage_optionsまたは類似）を必要とします。.
  • 侵害後の影響：管理者ブラウザコンテキストでのスクリプト実行により、次のようなアクションが可能になります：
    • REST APIエンドポイントを使用してコンテンツを作成または変更
    • 新しい管理者ユーザーの作成
    • エディタを介したプラグイン/テーマファイルの変更
    • クッキー/ノンスの抽出、永続的な乗っ取りにつながる

注記： 保存されたXSS脆弱性の存在は、必ずしも即時の侵害を意味するわけではありません。成功した悪用には通常、悪意のある管理者がペイロードを保存するか、管理者を騙してログイン中に悪意のあるページを訪問させるか、侵害された管理者アカウントが必要です。.

目標にされたか、侵害されたかを検出する方法

データベースと管理インターフェースから始めます — 攻撃者は設定、ウィジェットの内容、投稿内容、またはテーマオプションにスクリプトを配置することがよくあります。.

  1. まずバックアップ: 変更を加える前にファイルとデータベースの完全バックアップを取ります。.
  2. 疑わしいコンテンツをデータベースで検索します:
    • wp‑cliを使用して: 
      wp db query "SELECT option_id, option_name, LEFT(option_value, 300) as sample FROM wp_options WHERE option_value RLIKE '<script' OR option_value RLIKE 'javascript:' OR option_value RLIKE 'onerror|onload|onmouseover' LIMIT 200;"
      wp db query "SELECT ID, post_title FROM wp_posts WHERE post_content RLIKE '<script' OR post_content RLIKE 'javascript:' LIMIT 200;"
      wp db query "SELECT meta_id, meta_key FROM wp_postmeta WHERE meta_value RLIKE '<script' LIMIT 200;"
    • SQL (MySQL)を使用して: 
      SELECT option_name FROM wp_options WHERE option_value LIKE '%<script%' OR option_value LIKE '%javascript:%' OR option_value LIKE '%onerror=%';
  3. プラグイン固有のオプションを検査します: Mandatory Fieldプラグインに属するオプション名を探し（option_nameのプレフィックスについてプラグインコードを確認）、その値を注意深くレビューします。.
  4. サーバー/ウェブログと管理アクセスログをレビューして、プラグイン設定ページへのPOSTリクエストや疑わしい管理リクエストを探します:
    • プラグイン設定ページを参照する管理URLへのPOSTを探します（例のパターン: admin.php?page=mandatory-fields または類似）。.
  5. 疑わしいPHP/JSコンテンツやwp-content/uploadsまたはwp-content/pluginsディレクトリに新しく追加されたファイルの最近変更されたファイルをレビューします。.
  6. ユーザー活動とWordPress監査ログ（有効な場合）をチェックして、異常な管理活動や新しい/変更された管理アカウントを探します。.

保守的に: 時には正当なHTMLが保存されることがあります（例: 埋め込まれたウィジェット）。特定の値について不明な場合は、それを隔離された安全な環境にコピーして検査します。.

封じ込めとクリーンアップ手順

疑わしい保存されたスクリプトや悪用の証拠を見つけた場合:

  1. すべての管理ユーザーおよび特権のある他のアカウントの資格情報を直ちに変更します。パスワードのリセットを強制するか、新しい強力なパスワードを設定します。.
  2. 管理エリアを制限します:
    • 可能な場合は、IPによって/wp-adminおよび/wp-login.phpへのアクセスを制限します（ファイアウォールまたはサーバーレベル）。.
    • すべての管理者に対して強力なMFA/2FAを追加または強制します。.
  3. 悪意のある保存された値を削除します：
    • まずDBをバックアップします。.
    • 簡単なケースでは、安全なデータベース操作またはwp-cliを使用して、影響を受けたオプションからタグを削除できます。例（非破壊的アプローチ - まずサニタイズされたコピーを作成）： 
      wp db query "UPDATE wp_options SET option_value = REPLACE(option_value, '<script', '<script') WHERE option_value LIKE '%<script%';"

      注記： この例はスクリプトタグをエスケープします。正確なパターンを確認する必要があります。自動置換の前に手動レビューを優先してください。.

  4. ファイルが変更された場合は、既知の良好なバックアップからファイルを復元するか、影響を受けたプラグイン/テーマを元のソースから再インストールします。.
  5. サイト全体のマルウェアスキャンを実行し、整合性チェックを実行します（プラグインとWordPressコアファイルを公式リリースと比較）。.
  6. 侵害が広範囲にわたる場合は、クリーンバックアップからサイトを復元し、その後にハードニング（以下）を適用することを検討してください。.

ハードニングと予防 - 即時および長期

サイト所有者（管理者）向け：

  • 最小権限の原則：絶対に必要なユーザーにのみ管理者権限を付与します。役割を慎重に使用し、共有管理アカウントを避けてください。.
  • 強力な認証を強制します：すべての管理者および特権ユーザーにMFA/2FAを有効にします。.
  • インベントリと更新ポリシーを維持します：インストールされているプラグイン/テーマ、そのバージョン、および開発者によって積極的にサポートされているかどうかを追跡します。.
  • 可能な限り、プラグイン設定ページへのアクセスを信頼できるIPまたはサブネットに制限します。.
  • コア、プラグイン、およびテーマを最新の状態に保ちます。更新が利用できない場合は、公式の修正がリリースされるまでWAFルールを介して仮想パッチを適用します。.

開発者（プラグイン作成者およびサイトカスタマイザー）向け：

  • 常に適切なWordPress API（例：sanitize_text_field、sanitize_email、許可されたHTML用のwp_kses_post）で入力をサニタイズおよび検証します。.
  • register_setting()を介してsanitize_callbackで設定を登録し、保存された値がDBに入る前に検証されるようにします。.
  • 出力を適切にエスケープします：HTMLボディにはesc_html()を、属性値にはesc_attr()を、制限されたHTMLを許可する場合はwp_kses_postを使用します。.
  • すべての管理フォームハンドラーで能力チェック（current_user_can(‘manage_options’））とノンスを強制します。.
  • エスケープせずに管理ページに生のユーザー制御値を返さないようにします。.

仮想パッチとWAFルール — すぐに適用します

プラグインの脆弱性が公開され、公式のベンダーパッチがまだない場合、リスクを減らす最も早い方法は、WAFレイヤーで仮想パッチを適用することです。仮想パッチは悪意のある入力や出力パターンをブロックし、サイトの可用性を維持しながら悪用を防ぎます。.

以下は適用可能なWAFルールの概念の例です。これらをあなたのスタック（ModSecurity、Nginx LUA、クラウドWAFコンソール、または管理されたWordPressファイアウォール）に適応させてください。これらのルールは防御的であり、設定ページや保存された値の送信をターゲットにした悪用ペイロードをブロックすることを目的としています。.

警告： 偽陽性を避けるために、検出（非ブロッキング）モードで任意のルールをテストします。環境に合わせて調整してください。.

ModSecurityスタイルのルールの例（概念的）：

  • スクリプトタグや疑わしいイベントハンドラーを含むプラグイン設定ページへのPOSTリクエストをブロックします： 
    # 管理ページへのPOSTボディ内の明らかなスクリプトタグをブロックします（概念）"
  • 管理ページ用の一般的なPOSTボディXSS保護（広いネット — 必要に応じて調整およびホワイトリスト）： 
    SecRule REQUEST_URI "@beginsWith /wp-admin" "phase:2,chain,id:1001002,deny,log,msg:'管理エリアXSS保護 - POSTに疑わしいコードが含まれています'"
  • 特定の管理ページでスクリプトが漏れないようにレンダリング（レスポンス）を保護します：エスケープされていないスクリプトペイロードを含むレスポンスをブロックします（レスポンスボディの検査）： 
    # これはレスポンス検査の概念です — WAFがレスポンススキャンをサポートしていることを確認してください"
  • プラグイン設定ページへのアクセスを信頼できるIPに制限します： 
    # NginxまたはApache認証を使用している場合、IPで制限します
  • AJAXエンドポイントを介してオプションにスクリプトタグを保存しようとするコンテンツをブロックします： 
    SecRule REQUEST_URI "@rx /wp-admin/admin-ajax.php" \"

仮想パッチのベストプラクティス：

  • 偽陽性を減らすために、ルールをプラグインの管理エンドポイントとフォームフィールドに合わせて調整します。.
  • 最初に検出/ログモードを使用して、ブロックされたリクエストを観察し、ルールを調整します。.
  • 適用されたルールと変更の監査証跡を保持します。.
  • プラグインが正式にパッチされ、更新を確認したら、仮想パッチルールを元に戻すか削除します。.

WP‑Firewallを使用している場合、管理されたWAFルールを即座にリモートで適用し、修正計画中に保護を提供できます。.

開発者の修正チェックリスト（プラグイン作者 / サイトカスタマイザー向け）

プラグインを維持または開発している場合、これらは優先度の高い修正です：

  1. 10. 入力の検証とサニタイズ：
    • テキストのみの設定の場合、保存する前にsanitize_text_field()を使用します。.
    • HTMLが必要な場合は、許可されたタグと属性の厳格なホワイトリストを使用してwp_kses()を使用します。.
  2. 17. レンダリングする前に、コンテキストに基づいて出力をエスケープします。使用します
    • 管理ページで保存されたオプションをエコーする際は、常に適切にesc_attr()、esc_html()、またはwp_kses_post()を使用します。.
    • 生の保存値をDOMにエコーしないでください。.
  3. sanitize_callbackを使用してregister_setting：
    • register_setting( $option_group, $option_name, array( ‘sanitize_callback’ => ‘your_sanitizer’ ) );
    • 出力時だけでなく、保存時にもサニタイズします。.
  4. 権限とノンスのチェック：
    • すべての設定更新ハンドラーでcurrent_user_can( ‘manage_options’ )または同等のものを強制します。.
    • 提出されたフォームのノンスを検証するためにcheck_admin_referer()を使用します。.
  5. 管理エンドポイントとAJAXハンドラーでサーバー側のフィルタリングを追加します：
    • 明示的に許可され、サニタイズされていない限り、、イベントハンドラー（onerror、onload）、またはjavascript: URIを含む値を拒否します。.
  6. 保存された値がエスケープされ、スクリプト実行につながらないことを確認する自動ユニットおよび統合テストを追加します。.
  7. サイト所有者が将来の迅速な修正に依存できるように、脆弱性開示チャネルとタイムリーなパッチポリシーを提供します。.

事故後の検証と監視

  • 最新のマルウェアスキャナーとファイル整合性チェッカーでサイトを再スキャンします。.
  • 最初の疑わしいイベント以降のプラグイン、テーマ、設定、またはユーザーロールの変更について監査ログ（WPアクティビティログ）を確認してください。.
  • スクリプトタグや異常な値のデータベース検索を少なくとも1ヶ月間、毎週再実行してください。.
  • XSSおよびOWASPトップ10の脅威に対する継続的な保護のためにWAFルールセットを有効にしてください。.
  • WAF仮想パッチを使用した場合、プラグインが更新され、パッチを適用したプラグインバージョンが値を適切にサニタイズおよびエスケープすることを確認した後にのみルールを削除してください。.

インシデントレスポンスプレイブック（簡潔）

  1. コンテイン
    • さらなるペイロードの送信や応答をブロックするためにWAFルールを適用してください。.
    • IP制限を通じてプラグインの設定ページへのアクセスを無効にするか制限してください。.
    • すべての管理者資格情報をローテーションし、2FAを要求してください。.
  2. 調査する
    • どのオプションまたは投稿がペイロードを含んでいるかを特定してください。.
    • 他の持続メカニズム（悪意のあるファイル、スケジュールされたタスク、カスタムcronジョブ）を確認してください。.
    • フォレンジック分析のためにログを保存し、サイトの状態のスナップショットを取得してください。.
  3. 撲滅
    • 悪意のある保存された値を手動で削除してください（慎重にレビューした後）。.
    • 修正されたファイルをクリーンコピーから置き換えるか、クリーンバックアップから復元してください。.
    • 不正なユーザーアカウントを削除し、アクティブな管理者のリストを検証してください。.
  4. 回復する
    • サイトが正常に機能しており、クリーンであることを確認してください。.
    • さらなる悪意のあるコンテンツがないことを確認したら、通常のアクセス制御を再度有効にしてください。.
    • 公式のプラグインアップデートが利用可能になり次第、適用してください。.
  5. 学ぶ
    • 根本原因を特定するために事後分析を実施してください（攻撃者はどのようにして管理者レベルのアクションを取得したのか？）。.
    • ポリシー、バックアップ、および監視手順をそれに応じて更新してください。.

例の検出クエリと簡単なスクリプト

注意：破壊的または一括削除クエリを実行する前に必ずバックアップを取ってください。手動レビューと小規模でターゲットを絞った修正を優先してください。.

– 疑わしいオプションを見つける（MySQL）:

SELECT option_id, option_name FROM wp_options WHERE option_value LIKE '%<script%' OR option_value LIKE '%javascript:%' OR option_value LIKE '%onerror=%' LIMIT 500;

– オフラインレビューのために疑わしいオプション値をエクスポートする:

wp db query "SELECT option_name, option_value FROM wp_options WHERE option_value LIKE '%<script%' OR option_value LIKE '%javascript:%' INTO OUTFILE '/tmp/suspect-options.csv' FIELDS TERMINATED BY ',' OPTIONALLY ENCLOSED BY '\"' LINES TERMINATED BY '

安全で段階的なクリーンアップを行い、各変更を検査する。.

なぜ管理されたWAF（仮想パッチ）が今重要なのか

プラグインの脆弱性が公開され、パッチがまだ利用できない場合、サイトの所有者は即時の保護が必要です。仮想パッチ — WAF層でルールを適用すること — は悪意のある入力を遮断し、サイトコードを変更することなく既知の悪用パターンをブロックします。これにより、次のことを行うための重要な時間が確保されます:

  • プラグインを急がずに安全にパッチを適用し、サイトの破損を引き起こさないようにする。.
  • サイトの徹底的な監査を完了する。.
  • 適切な修正と強化を適用する。.

当社の管理ソリューションには、既知のWordPressプラグイン設定パターンや管理エリアのXSS試行を対象とした事前構築されたルールセットが含まれており、新しいシグネチャを保護されたサイト全体に迅速に展開できる継続的な更新機能があります。.

現実のシナリオと実用的な例（攻撃がどのように展開されるか）

  1. 管理者をソーシャルエンジニアリングする: 攻撃者は管理者にプラグイン設定のテキストエリアにコンテンツを貼り付けるように説得します（例：構成の問題をトラブルシューティングしている間）。管理者はソースを信頼し、埋め込まれたペイロードを含む無害に見えるスニペットを貼り付けます。次回管理者が設定ページを訪れると、注入されたスクリプトが実行され、管理者のセッションを使用してREST API経由で新しい管理者ユーザーを作成します。.
  2. 不正な契約者/内部者: 管理権限を持つ契約者が設定フィールドにJavaScriptを追加して、継続的なアクセスを保持したり、サイトデータを抽出したりします。スクリプトが保存されるため、再起動や権限のローテーションを生き延びます。.
  3. 妥協後の連鎖攻撃: 単一の管理者アカウントを妥協した攻撃者は、サイトの管理ページやフロントエンドウィジェットにスクリプトを植え付けて持続性を確保し、修正をより複雑にします。.

これらの例は現実的であり、管理コンテキストでの保存されたXSSが初期の障壁（管理者アクセス）が高い場合でも学術的な問題以上のものである理由を説明しています。.

チェックリスト: 今何をすべきか（オペレーターに優しい）

  • すぐにファイルとデータベースのバックアップを取ってください。.
  • 公式のパッチ版がリリースされた場合は、プラグインを更新してください。.
  • パッチが利用できない場合は、プラグイン設定へのスクリプトのような入力をブロックするためにWAF仮想パッチルールを適用してください。.
  • wp_options、wp_posts、wp_postmeta、およびプラグイン固有のストレージを監査し、スクリプトタグや疑わしい値を探してください。.
  • すべての管理者パスワードを変更し、2FAを強制してください。.
  • 可能な限り、IPまたはVPNアクセスによって管理者ページを制限してください。.
  • 変更されたファイルやアップロードまたはプラグインディレクトリに追加されたPHP/JSファイルをスキャンしてください。.
  • 繰り返しの試行についてログとWAFアラートを引き続き監視してください。.

あなたのサイトを即座に保護 — WP-Firewall無料プランから始めましょう

このような脆弱性が公開されるときのプレッシャーを理解しています。だからこそ、管理されたファイアウォール、無制限の帯域幅、ウェブアプリケーションファイアウォール（WAF）、マルウェアスキャナー、OWASP Top 10リスクへの緩和を含む無料の基本保護プランを提供しています。自動マルウェア除去やIPのブラックリスト/ホワイトリストが必要な場合、私たちのスタンダードおよびプロプランは手頃な年間料金でそれらの機能を追加します — そしてプロティアは月次セキュリティレポート、自動仮想パッチ適用、ハンズオフ保護を希望するチーム向けのプレミアムセキュリティサービスへのアクセスを追加します。.

基本（無料）プランで今すぐサイトを保護し始めてください：
https://my.wp-firewall.com/buy/wp-firewall-free-plan/

（私たちの無料プランは、上記の手順を実行している間に仮想パッチとWAF保護を適用する簡単で即時の方法です。非侵襲的で迅速に展開できるように設計されています。）

終わりのメモ — 現実的かつ積極的であること

この脆弱性は、次のことを思い出させるタイムリーな警告です：

  • プラグインはWordPressの機能を拡張しますが、攻撃面も広げます。.
  • 低Severityの脆弱性であっても、管理者のワークフローに関わると効果的に利用される可能性があります。.
  • レイヤードアプローチ — セキュアな開発プラクティス、厳格な管理者コントロール、監視および監査ログ、そしてアクティブなWAF — が最も信頼できる保護です。.

あなたのサイトが影響を受けているかどうか、または安全に仮想パッチを適用する方法が不明な場合は、短い評価を行い、完全な修復を計画している間に封じ込め措置を適用できる信頼できるWordPressセキュリティ専門家の助けを検討してください。.

仮想パッチの適用、保存されたXSS試行をブロックするためのWAFの設定、またはスキャンとクリーンを実行する支援が必要な場合、私たちのチームが助けることができます — 上記のリンクを通じて即時の基本保護を無料で開始します。.

安全を保ち、継続的に監視し、管理者レベルのアクセスを高価値の資産のように扱ってください。.

wordpress security update banner

WP Security Weeklyを無料で受け取る 👋
今すぐ登録!!

毎週、WordPress セキュリティ アップデートをメールで受け取るには、サインアップしてください。

スパムメールは送りません！ プライバシーポリシー 詳細については。

無料のWordPressセキュリティコンサルテーションをご予約いただくには、お問い合わせください。

お問い合わせ

WPファイアウォール
香港、九龍、観塘、洪徳路71号、ザ・レイズ6階

特徴 価格 ブログ ログイン
プライバシーポリシー 利用規約 ドキュメント アフィリエイト

© 2026 WP-Firewall™