WordPress向け「Yoast SEO Premium」で、保存型クロスサイトスクリプティング（Stored XSS）の脆弱性が報告され、v26.0で修正されました。影響を受けるのは v25.7〜v25.9。脆弱性識別子は CVE-2025-11241、CVSS 3.1スコアは 6.4（Medium） です。
脆弱性の対象バージョン
本脆弱性は Yoast SEO Premium（有償版）の v25.7〜v25.9 が対象です（無料版のYoast SEOは対象外）
脆弱性の対策バージョン
公式の修正は v26.0 以降 に含まれているため、運用中のサイトはただちに Yoast SEO Premiumを26.0以上へアップデートしてください。複数ユーザー（Contributor/Author/Editor等）に投稿権限を与えているサイトほど影響が大きくなり得ます。
脆弱性の概要
投稿本文から属性を除去する処理に用いられていた 正規表現（regex）の不備 により、保存型XSS（Stored Cross-Site Scripting） が成立します。少なくとも Contributor（投稿者）以上の認証済みユーザー が、投稿本文内に 任意のHTML属性（onerror などのJavaScriptイベント属性を含む） を注入でき、記事を閲覧した管理者や訪問者のブラウザで 悪意のスクリプトが実行 される可能性があります。これにより、Cookie/セッショントークンの窃取、権限昇格、管理画面での不正操作、フィッシング／リダイレクト などの二次被害につながるおそれがあります。
対策としてはアップデートが最優先で、併せて投稿権限の最小化と直近投稿の不審なイベント属性（onload/onclick 等）の有無を点検することが推奨されます。
関連記事
WindowsのTCP/IP IPv6を使用する全てのシステムに影響を与える緊急度の高い 脆弱性(CVE-2024-38063)
NET MAUI を使用して検出を回避する新しいAndroidマルウェアキャンペーンが確認される
WordPressの人気 プラグイン LiteSpeed cacheで脆弱性、700万サイトに影響(CVE-2025-12450)
Docker が重大な認証バイパスの脆弱性を修正(CVE-2024-41110)
ランサムウェア 攻撃 グループが Google Chrome に保存されたパスワードを盗む
Microsoft Teamsのゲストチャットの不具合で、ユーザーが気づかずにサイバー攻撃の脅威に晒される
7-Zipで2つの脆弱性 いずれもDoS攻撃リスク(CVE-2025-53816,CVE-2025-53817)
6000以上のワードプレスがサイバー攻撃とハッキングの被害
7-Zipの脆弱性 CVE-2025-11001 にPoC公開-Windows向けシンボリックリンク処理の不備、v25.00で修正
