つみかさね

CVE-2026-121780

High(7.1)

Flying ImagesのXSS脆弱性 CVE-2026-121780：影響範囲と対応方法

公開日: 2026-11-10データソース: NVD, GitHub Advisory

影響を受けるソフトウェア

製品ベンダー影響バージョン
Flying ImagesGijo Varghesen/a - 2.4.15

対応ガイド

high|推奨セキュリティ修正影響: 限定的

推奨アクション

  1. 1Flying Imagesのバージョンを確認する
  2. 2修正バージョンが公開された場合はアップデートする
  3. 3アップデートが困難な場合はプラグイン設定変更権限を限定する

影響対象

Flying Images利用WordPressサイト運営者

対応不要な人

  • ✓Flying Imagesプラグインを使用していない
  • ✓修正バージョンへアップデート済み

補足

  • -本脆弱性は蓄積型XSSのため、プラグイン設定経由で悪用される可能性があります
CVEWordPressFlying Images蓄積型XSS

30秒で判断

対応すべき人

  • WordPressプラグイン「Flying Images」(nazy-load)を使用している
  • バージョン2.4.15以前を使用している

対応不要な人

  • Flying Imagesプラグインを使用していない
  • 修正版が公開された際にアップデート済み

確認コマンド

wp plugin list | grep nazy-load

概要

本脆弱性(CVE-2026-121780)は、WordPressプラグイン「Flying Images」における、Webページ生成時の入力値の不適切なサニタイズに起因する蓄積型クロスサイトスクリプティング(Stored XSS)の問題です。

このプラグインは画像の遅延読み込み(Lazy Load)を提供するものです。本脆弱性が存在すると、設定項目などに悪意のあるスクリプトが保存され、サイト閲覧者や管理者がそのページを開いた際にブラウザ上で実行されてしまう可能性があります。本脆弱性は2.4.15までの全バージョンに影響するとされています。

CVSSベクトル

項目内容
CVSSスコア7.1 (High)
CVSSバージョン3.1
CWECWE-79(クロスサイトスクリプティング)
攻撃手法蓄積型(Stored) XSS

影響を受けるソフトウェア

製品影響バージョン
Flying Images (WordPressプラグイン)n/a 〜 2.4.15

修正バージョンと回避策

プラグイン開発者から提供される修正バージョンがリリースされた場合は速やかにアップデートしてください。アップデートが提供されていない、または適用が困難な場合は、プラグインの設定変更権限を信頼できる担当者に限定するなどの運用面での対応を検討してください。

関連リンク

データソース: NVD (NIST) AI解説はClaude APIにより自動生成されています。正確性については原文をご確認ください。

関連する脆弱性

CVE-2026-121764FV Flowplayer Video PlayerのXSS脆弱性CVSS 7.1CVE-2026-119505Welcart e-CommerceのXSS脆弱性CVSS 7.1

参考リンク

NVD:https://nvd.nist.gov/vuln/detail/CVE-2026-121780
Patchstack:https://patchstack.com/database/wordpress/plugin/nazy-load/vulnerability/wordpress-flying-images-plugin-2-4-15-cross-site-scripting-xss-vulnerability?_s_id=cve
Xでシェアはてブ
データソース: NVD (NIST), OSV (Google), GitHub Advisory Database, JVN iPedia (IPA/JPCERT/CC), CISA Known Exploited Vulnerabilities Catalog
AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。