WordPress の画像を WebP に変換して配るプラグイン WebP Express の脆弱性（CVE-2026-97328）が、WPScan から 10/20 に公開されました。設定で Alter HTML をオンにしているサイトで、ログインしていない第三者が公開ページに JavaScript を仕込めるものです。有効インストールは 30 万で、修正版の 0.25.16 は公開の 2 日前、10/18 に出ています。
0.25.16 に更新済みのサイトでは何も起きていない一方、0.25.15 以下のままで Alter HTML をオンにしているサイトは、10/20 から攻撃対象になっています。上げる期限は、WPScan が攻撃の手順を公開する 11/20 です。
https://wpscan.com/vulnerability/f44cb329-fb2e-4fb1-b878-8b52b0c769cc/
WPScan の公開情報と WebP Express の変更履歴をもとに、やることだけ整理しました。
取るべき対応
- プラグイン一覧で WebP Express のバージョンを見る
- 0.25.16 なら対応済みで、10/18 に出た現行版です
- 0.25.15 以下なら 0.25.16 に上げる
- 変更履歴によると、0.25.16 にはもう 1 件、有効にしている場合の web service を API キー無しで使える抜け穴の修正も入っています
WPScan は回避策を示していません。
対象者
対象は 0.25.15 以下を入れていて、Alter HTML をオンにしているサイトです。見るのは「0.25.16 より前か」と「Alter HTML がオンか」の 2 つ。WPScan は、既定ではない画像の配信方式を有効にしているときに成立するとしていて、その方式を Alter HTML と呼んでいます。オフなら外れますが、設定した覚えが無いだけでは外れたことにならないので、WebP Express の設定画面で見てから判断するのが無難です。
起こったこと
ログインしていない第三者がサイトに送った内容がそのまま保存され、そのページを開いた人のブラウザで JavaScript として動きます。動く相手は一般の訪問者に限らず、同じページを開いた管理者も含まれると WPScan は書いていて、CVSS は 7.5、区分は High です。
原因
WPScan によると、原因は WebP Express が同梱している HTML パーサーにあります。ページの HTML を書き換えて要素の属性に値を書き戻すときに、その値をエスケープしていませんでした。この書き換えが動くのが、Alter HTML をオンにしたときです。変更履歴では、HTML の書き換えに使う DOM パーサーのライブラリの脆弱性を修正した、とあります。
