タグ / 攻撃手法
すべての面から3件。公開日の新しい順。（蓄積型XSS のタグが付いた記事を含みます）キーワードと組み合わせて探す →
Parameter は10月28日、細工した ChatGPT の公開共有リンクを開いた人のログイン中のセッションで、攻撃者の JavaScript を chatgpt.com として動かせた欠陥を公表した。グラフ表示が読み込む数式入力部品 MathLive が送り主を確かめずにメッセージを受け付け、HTML プレビューの隔離を越えていた。私的な会話の一覧と中身を読み出せることを確認しており、OpenAI は10月26日に修正し P1 と評価した。悪用は確認されていない。
WordPressは2026年10月28日、コア更新の作業中に認証なしでコードを実行されうる競合状態の欠陥など、多数の問題を直した7.1.4を公開した（CVE未採番、Wordfenceの評価でCVSS 8.1）。影響は4.7〜7.1.3で、Wordfenceは公開後21時間で一時展開先のインストーラーを狙う1万8,500件超の要求を観測したが、侵害の成功は報告していない。
Patchstackが、WordPressプラグイン Ninja Forms（CVE-2026-94504）と WPC Product Bundles for WooCommerce（CVE-2026-93836）の蓄積型XSSを使い、管理者のブラウザ上で偽プラグインのインストールと管理者作成を行う攻撃を10月4日から観測。ユーザー一覧に出ない管理者、元の管理者として入れる裏口URL、認証なしのファイルマネージャーが残り、プラグインを更新しても消えない。Ninja Forms／WPC Product Bundles の蓄積型XSS悪用。管理者が投稿を開いた瞬間に、一覧に出ない管理者と裏口ログインが作られる。