WordPress でファイルのダウンロードを管理するプラグイン Download Monitor の脆弱性が、WPScan から 10/22 に公開されました。番号は CVE-2026-112207 で、5.3.4 より前の全バージョンが対象です。細工したリンクをクリックした人のブラウザで、ログインの有無にかかわらず JavaScript が動くものでした。有効インストールは 8 万で、修正版の 5.3.4 は 10/9 付けの変更履歴で出ています（wp.org での配布は 10/14）。
同じプラグインには、もう 1 件あります。Wordfence が 10/1 に公開した CVE-2026-100182 で、こちらは 5.2.10 以下が対象です。ログインしていない第三者が管理者を細工したページに誘導し、公開ページに JavaScript を仕込めるもので、修正は 9/28 の 5.2.11 に入っています。そう、5.3.4 以上に上げれば 2 件とも消えます。
5.3.4 以上に更新済みのサイトでは何も起きていない一方、5.3.3 以下のままのサイトは 10/22 から攻撃対象になっています。上げる期限は、WPScan が攻撃の手順を公開する 11/22 です。
https://wpscan.com/vulnerability/03d5e83b-3119-4862-b1be-8c6fe53f9963/
https://www.cve.org/CVERecord?id=CVE-2026-100182
WPScan と Wordfence の公開情報、Download Monitor の変更履歴をもとに、やることだけ整理しました。
取るべき対応
- プラグイン一覧で Download Monitor のバージョンを見る
- 5.3.4 か 5.3.5 なら対応済みです。現行版は 10/20 に出た 5.3.5
- 5.3.3 以下なら 5.3.5 に上げる
- WPScan によると、5.3.4 には投稿者権限のユーザーによる XSS、5.3.5 にはマルチサイトのサブサイト管理者に関する別の脆弱性の修正も入っています
WPScan も Wordfence も回避策を示していません。
対象者
対象は 5.3.3 以下を入れている全サイトです。10/22 公開の 1 件目には設定の条件がなく、誰かが細工したリンクをクリックした時点で成立します。10/1 公開の 2 件目は 5.2.10 以下が対象で、管理者がダウンロードの編集画面を開いた状態で攻撃者のページを見たときに成立すると Wordfence は書いています。見るのは「5.3.4 より前か」だけ。
起こったこと
1 件目は、細工したリンクをクリックした人のブラウザで JavaScript が動きます。相手は訪問者でも管理者でもよく、CVSS は 7.1、区分は High です。2 件目は、誘導された管理者の権限でスクリプトがダウンロードの本文に保存され、それをショートコードで表示している公開ページを開いた人全員のブラウザで動きます。こちらの CVSS は 7.2 で、同じく High でした。
原因
WPScan によると、1 件目の原因は、クリックされたリンクが自分のサイトのものかを確かめずに、ブラウザ側でそのリンク先を取得していたことです。取得した応答の一部は、そのままページに描画されます。2 件目は Wordfence によると、ダウンロードの編集画面が別のサイトからの postMessage を受け取り、その内容が管理者の unfiltered_html 権限（HTML をそのまま保存できる権限）で保存され、[download_data] ショートコードがエスケープせずに出力していた、という説明でした。変更履歴はどちらも「Security update」の 1 行です。
