私からのメールでこのページをご案内した場合、それはお使いのウェブサイトが Blog Floating Button（sunhaengsa / kuma-chan 氏による WordPress プラグインで、サーバー上のファイルでは /wp-content/plugins/blog-floating-button/ にあります）の、既知のセキュリティ問題の影響範囲に 含まれるバージョンで動作しているように見えたためです。このページでは、その問題の内容、ご利用の バージョンを確認する方法、更新の手順、そして更新後に行うべきことを説明します。

該当する問題は CVE-2026-15383 で、このプラグインのクリック計測・レポート機能における、 認証を必要としない格納型クロスサイトスクリプティング（stored XSS）の脆弱性です。1.4.21 未満の すべてのリリースが影響を受け、2026 年 7 月 31 日に公開された 1.4.21 で修正されています。 1.4.21 より古いバージョンをお使いの場合は、Blog Floating Button を 1.4.21 以降に更新して ください。

一点、私がお送りしている他の通知とは異なるため、はっきりさせておきたいことがあります。「これ より古ければ安全」というバージョンは存在しません。 これは、プラグインの歴史のどこかの時点で 入り込み、後に修正されたという種類の欠陥ではありません。欠けていた保護は、このプラグインが これまでに公開したすべてのリリースに、1.4.20 に至るまで一貫して存在していました。そのため 「うちのインストールは古すぎるので影響しない」という逃げ道は、ここにはありません。影響を受け ないバージョンは 1.4.21 以降だけです。

この通知は、お使いのサイトの設定にも左右されません。影響を受けるコードが存在するために、 何らかの設定を有効にしておく必要はありません。

これは WordPress 本体ではなく、プラグインの欠陥です。Blog Floating Button プラグイン 自体が影響を受けるバージョンであれば、WordPress を最新の状態に保っていても保護にはなりません。

このメールは本物ですか？

はい。これは独立したセキュリティ研究者からの、善意に基づく責任ある開示（responsible disclosure）の通知です。金銭、パスワード、サイトへのアクセス権をお求めすることはありません。 また、お使いのサイトに侵入を試みたことも、何かを送信したことも、脆弱性を悪用したことも ありません。

私が行ったのは、お使いのウェブサイトがすべての訪問者に対して公開しているファイル（トップページ が公開されているのと同じ意味で公開されているもの）を閲覧し、プラグインが自ら公開しているバー ジョン番号を確認しただけです。プラグインの計測機能に対しては、意識的に何も送信していません。 この確認は、お客様のデータ、管理画面、サイトの非公開部分には一切触れていません（詳しくは下記の 私が行ったこと、行っていないことをご覧ください）。

私が何者であるかを確認したい場合は、このページ下部の連絡先と About ページをご覧 ください。

なぜ重要なのか

Blog Floating Button は、投稿やページにフローティングボタンを追加し、クリックや訪問の記録を独自 に保存して、後から WordPress 管理画面内のアクセス解析レポートで確認できるようにするプラグイン です。今回の問題には、この機能の両方の側面が関わっています。

影響を受けるバージョンでは、プラグインはログインを必要とせず誰からでも計測データを受け付け、 訪問してきたブラウザーが自身について報告した内容の一部を、受け取ったそのままの形で、無害化せず に独自のデータベーステーブルへ保存します。その後、レポート画面が保存された行を表示する際に、 それをそのままページへ書き出します。その結果、匿名の訪問者によって保存された文字列が、レポート の表示時にコードとして扱われうる、ということになります。

そのコードがどこで実行されるのかは正確に述べる価値のある点であり、公開されているアドバイザリー の表現から受ける印象とは異なります。 レポート画面は WordPress の管理画面にあります。 したがってコードが実行されうるのは、プラグインのアクセスレポートを開いた、ログイン中の管理者 のブラウザーの中であって、サイトを閲覧する一般の訪問者に対しては実行されません。この問題によって サイトを見に来た方が攻撃を受けているのではないかとご心配であれば、そのようなことはありません。 事実が裏づける以上に恐ろしい印象をお残しするよりは、はっきりそう申し上げたいと思います。

そのことは、問題の規模も定めます。これは認証を必要としない実在の格納型の欠陥であり、速やかに 修正する価値はありますが、私が他所で取り上げているアカウント乗っ取りやリモートコード実行の問題 と比べれば、範囲は限定的です。これ自体が誰かに管理者アカウントを与えるわけではありませんし、 これ自体がサーバーの制御を誰かに渡すわけでもありません。そもそも何かが起きるには、管理者が特定 の一画面を開く必要があります。

同じリリースには、もう一つの修正も含まれています。 1.4.21 の変更履歴には、レポート画面の 検索・絞り込みパラメーターにおける SQL インジェクションの脆弱性も修正したと記録されています。 私が確認できた限り、こちらについては個別のアドバイザリーや CVE 識別子は公開されていないため、 識別子を付けることはいたしません。ここで触れているのは、1.4.21 への更新がこちらにも対処する からです。同じリリースではさらに、サーバー上のファイルパスが露見しうるエラー表示の問題も修正 され、ベンダーによる出力エスケープと入力の無害化についてのプラグイン全体の見直しも行われて います。つまり 1.4.21 はセキュリティリリースであり、見出しの問題が軽微に思えたとしても、適用 する価値があります。

ここでの説明は、サイト運営者の方が行動を決めるのに必要な水準にとどめており、それ以上には踏み 込みません。再現を可能にするような詳細は公開しませんし、ご自身のサイトや他者のサイトに対して お試しになることもお控えいただくようお願いします。以下に述べる方法でバージョン番号をご確認 いただければ、どうすべきかを判断するのに必要なことはすべて分かります。

私のメールがこの問題に言及していた場合、それはお使いのサイトが報告しているバージョンが 1.4.21 より古いということを意味します。お使いのサイトが実際に悪用可能かどうかを検証したわけではなく、 確認したのはバージョンのみです。

影響を受けますか？

問題は一点に尽きます。お使いの Blog Floating Button のバージョンはいくつか、ということです。

WordPress 管理画面から確認する（最も確実な方法）:

  1. WordPress のダッシュボードにログインします（通常は yourdomain.com/wp-admin）。
  2. プラグイン から インストール済みプラグイン を開きます。
  3. フォルダー名が blog-floating-button である Blog Floating Button の項目を探し、名称の 下に表示されているバージョンを確認します。

公開されているマニフェストから確認する（ログイン不要）: ブラウザーで yourdomain.com/wp-content/plugins/blog-floating-button/readme.txt を開きます。冒頭付近の Stable tag: の行が、お使いのインストールが報告しているバージョンであり、これは私が読んだ のと同じ公開ファイルです。このプラグインについては、公開されたすべてのリリースにおいて、この値 が管理画面に表示されるバージョンと正確に一致します。

このプラグインでは通用しない確認方法が一つありますので、頼らないでください。 ページのソース でスクリプトやスタイルシートに付く ?ver= の数値からプラグインのバージョンを読み取ることに慣れ ていらっしゃる場合、ここではそれが判断を誤らせます。このプラグインは自身のバージョンをそれらの ファイルに付与しないため、WordPress が代わりに WordPress 本体のバージョンを埋め込みます。 このプラグインのファイルの横に 6.8.5 や 7.0.1 のような数値が見えたら、それは WordPress の バージョンであってプラグインのバージョンではなく、1.4.21 と比べても意味がありません。管理画面 か readme.txt をお使いください。

そのうえで、次の判断基準を当てはめてください。バージョンは文字列としてではなく数値として 比較される点にご注意ください。1.4.21 は文字面では小さく見えても 1.4.9 より新しいバージョンです。

  • 1.4.21 より古いすべてのバージョン: 影響を受けます。更新してください。これより古ければ 安全になる、という下限は存在しません。
  • 1.4.21 以降: すでに修正済みです。

更新の方法

このプラグインは無料で、現在も公開されており、活発にメンテナンスされていますので、修正は通常の 更新として適用できます。最も安全なのは、事前にバックアップを取ったうえで、WordPress 自体から 更新する方法です。

  1. 変更を加える前に、サイトのバックアップ（ファイルとデータベース）を取得してください。多く のホスティング事業者がワンクリックのバックアップを提供していますし、WordPress のバックアップ プラグインを使う方法もあります。
  2. WordPress 管理画面で ダッシュボード から 更新、または プラグイン から インストール済みプラグイン を開きます。Blog Floating Button の更新が表示されていれば、 ここからインストールします。
  3. コマンドラインをお使いになる場合は、WP-CLI でも同じことができます: wp plugin update blog-floating-button
  4. 更新が表示されない場合は、WordPress.org プラグインディレクトリの Blog Floating Button のページから最新リリースを直接入手し、プラグイン から 新規プラグインを追加、 プラグインのアップロード の順に進んで更新できます。
  5. 更新後は、上記の手順で新しいバージョン番号（1.4.21 以降）を確認し、フローティングボタンが 従来どおり表示され、正常に動作することも確かめてください。

作業のついでに、WordPress 本体とその他のプラグインが最新であることも確認しておく価値が あります。同じ原則がそれらすべてに当てはまります。

更新した後に

1.4.21 以降への更新で、この問題は解消します。レポート画面は表示前にすべての値を無害化するよう になったため、保存された計測データはコードとして扱われるのではなく、テキストとして表示されます。

すでに起きているかもしれないことについて、慎重に述べます。 更新前に匿名の訪問者によって保存 されたものは、プラグインの計測テーブルに残ったままです。ただしそれが何らかの作用を及ぼしたと すれば、それは影響を受けるバージョンで動作している間に、管理者のどなたかが実際にプラグインの アクセスレポートを開いた場合に限られます。その画面を誰も使っていなかったのであれば、何かが実行 される機会はありませんでした。更新は今後の実行を止めるものであって、すでに実行されたものを取り 消すものではありません。

管理者の方がそのレポートを日常的にご利用の場合、あるいは念のため万全を期したい場合は、次の確認 が妥当で、手間もかかりません。

  • 管理者アカウントを見直す。 WordPress 管理画面で ユーザー を開き、管理者 で絞り込み、 表示されるすべてのアカウントが、その権限を持つべき方のものであり、あるべきメールアドレスに なっていることを確認します。
  • 最近の変更に目を通す。 サイトのユーザー、設定、コンテンツについて、見覚えのない変更がない か確認します。
  • 不審な点があれば、管理者パスワードのリセットが妥当な次の一手です。また、wp-config.php の WordPress の秘密鍵とソルトを再生成すると（新しい値は公式の シークレットキー生成ツール でワンクリックで得られます）、すべてのユーザーが一度ログアウトされます。

お使いのサイトで実際に何かが起きたかどうかを私が知る手立てはありませんし、確認もしていません。 これは予防的な通知であって、インシデントの報告ではありません。

私が行ったこと、行っていないこと

メールの根拠となった確認について完全に透明にしておきますと、私が読んだのは、お使いのサイトが すでにすべての訪問者に提供している公開ファイル、具体的にはプラグインの公開された readme.txt ファイルとトップページだけです。WordPress の管理画面、データベース、サイトの非公開部分には 一切アクセスしていません。プラグインのレポート画面も開いたことはありませんし、そもそもお使い のサイトのアカウントなしには開くことができません。

とりわけ、プラグインの計測機能に対して何かを送信したことは一度もありません。何も送信して おらず、保存させておらず、試しておらず、悪用もしていません。このことは、他の通知ページ以上に ここでは重要です。計測機能こそがこの問題の対象そのものであり、「そこに触れていない」ということ が、開示と侵入とを分けるすべてだからです。

また、この問題に乗じることを助けてしまうような詳細も、意図的に公開していません。上記の説明は サイト運営者の方に必要な水準で止めており、実証コード（PoC）へのリンクも掲載していません。

これはバージョンに基づく観察です。お使いのサイトは 1.4.21 より古いバージョンを報告して います。この範囲にあるサイトであっても、ウェブアプリケーションファイアウォールや修正のバック ポートなど、別の手段によってすでに保護されている場合があります。この通知は、私が確認した時点で お使いのサイトが悪用可能な状態にあったと述べるものではありません。

サイトの管理者がいない / 対応に行き詰まった

サイトを管理されている方でない場合は、このページを管理担当の方（ウェブ制作者、制作会社、 ホスティング事業者など）に転送してください。上記の手順であれば、すぐに理解していただけるはず です。

ご自身でサイトを管理されていて対応に行き詰まった場合は、無償で方向性をご案内します。下記の 連絡先までお気軽にご連絡ください。

連絡先

Evan Harris、セキュリティ研究者

この種の問題についてご連絡しているのは、運営者の方がサイトを安全に保つお手伝いをするためです。 今後のご連絡をご希望でない場合は、その旨をお知らせいただければ、必ずお守りします。

参考情報

公式アドバイザリーと追跡情報

ベンダー / プラグイン